5 condiciones para seguridad en empresas medianas y pequeñas

Gilberto Vicente*

El entorno empresarial actual de gran competitividad hace que las medianas y pequeñas empresas centren su atención en ampliar sus negocios y mejorar la satisfacción del cliente, controlando a la vez sus costos. Afortunadamente, Internet y las aplicaciones de red han igualado las condiciones del juego. Las medianas y pequeñas empresas utilizan sus redes para ampliar su participación de mercado y comunicarse con sus clientes y socios de una forma rápida y económica. No obstante, la rapidez y agilidad que proporcionan las aplicaciones de e-business son un arma de doble filo: el acceso puede a su vez abrir la puerta a violaciones de seguridad que traen un elevado costo para las empresas. Ahora más que nunca es importante contar con redes confiables, seguras y disponibles.

Según estudios recientes, la seguridad es el mayor desafío al que se enfrentan las medianas y pequeñas empresas. Las amenazas contra la seguridad en constante evolución, procedentes tanto del interior como del exterior de la red empresarial, pueden causar estragos en las operaciones comerciales, afectando la rentabilidad de la empresa y la satisfacción del cliente. Además, las medianas y pequeñas empresas deben cumplir la nueva normativa y legislación creada para proteger la privacidad de los consumidores y garantizar la seguridad de la información electrónica.

Concientes de este tema y de la importancia que tiene para las empresas en México, presentamos a continuación las cinco consideraciones de seguridad prioritarias para este tipo de compañías:

Consideración de Seguridad no.1 – Código Malicioso (Gusanos, Virus, Troyanos, Spyware, Adware, etc.)

Los gusanos y virus informáticos siguen siendo la amenaza más común contra la seguridad, con el 75 por ciento de las medianas y pequeñas empresas afectadas al menos por un virus al año (Maritz Research, 2005). Los gusanos y virus tienen un efecto devastador sobre la continuidad de las operaciones comerciales y sobre su rendimiento. Son cada vez más inteligentes y destructivos, y se propagan con más rapidez que nunca, pudiendo infectar a toda una oficina en cuestión de segundos. La actualización de los equipos infectados tarda mucho más tiempo. Los resultados hoy en día son catastróficos pues han evolucionado de ser molestas aplicaciones que afectan la productividad, que generan pérdida de pedidos para convertirse en verdaderos vehículos de robo de información y generación de interrupciones de servicios críticos que afectan al negocio al grado de comprometer su misma existencia.

Es vital que la pequeña y mediana empresa haga conciencia que la naturaleza del código malicioso de la actualidad no distingue tamaño o giro, de tal forma que los retos en cuanto a salvaguardar los activos críticos contra estas amenazas son exactamente los mismos que los de grandes corporativos.

Consideración de Seguridad no. 2 – Robo de Información

Actualmente el robo de información es un negocio muy lucrativo, hackers u organizamos detrás del desarrollo del código malicioso fácilmente logran acceder de forma ilegal a las redes y dispositivos críticos de las empresas con la intención de robar números de tarjetas de crédito, o cualquier otra forma de identidad, con fines lucrativos. Las medianas y pequeñas empresas están en peligro porque se les considera un objetivo más sencillo en comparación con las grandes empresas. La protección del perímetro de la red es un buen comienzo, pero no es suficiente, ya que muchos robos de información se han llevado a cabo gracias a la ayuda de una persona de confianza que trabajaba desde dentro, por ejemplo, un empleado o contratista.

El robo de información puede ser muy costoso para las medianas y pequeñas empresas, ya que éstas dependen de la satisfacción de los clientes y de la buena reputación para el crecimiento de su negocio. Las empresas que no protegen adecuadamente su información podrían ser objeto de publicidad negativa, sanciones gubernamentales e incluso demandas judiciales. Por ejemplo, existen algunos marcos regulatorios emitidos por autoridades nacionales e internacionales que norman el comportamiento de empresas en diversos sectores, especialmente en cuestiones de finanzas, como PCI (Payment Card Industry) y la Comisión Nacional Bancaria y de Valores (CNBV), entre muchas otras. Toda estrategia de seguridad debe prevenir el robo de información de carácter confidencial tanto dentro como fuera del negocio.

Consideración de Seguridad no. 3 – Disponibilidad del Negocio

Los gusanos y virus informáticos pueden afectar drásticamente la confiabilidad de los recursos de la red, lo cual puede a su vez afectar la capacidad del negocio para responder rápidamente a sus clientes; sin embargo, los virus y gusanos no son la única amenaza para la disponibilidad del negocio. Puesto que las redes son tan cruciales para el desempeño diario de las operaciones comerciales, los terroristas del ciberespacio han comenzado a atacar a las empresas utilizando el chantaje, amenazándolas con sabotear sus sitios web y operaciones de comercio electrónico a menos que acaten sus exigencias.

Estos ataques de negación de servicio (DoS) envían un gran volumen de tráfico a un elemento imprescindible de la red, provocando fallas o impidiendo el paso del tráfico legítimo. Una vez más, los resultados son desastrosos: se pierden datos y pedidos y no se responde a las peticiones de los clientes. Si estos ataques pasan al dominio público, la credibilidad de la compañía se ve afectada. Aunque gran parte de la publicidad en torno a los bloqueos por DoS se ha centrado en grandes bancos y compañías con gran número de empleados, las medianas y pequeñas empresas no son inmunes a estos ataques e incluso, en la mayoría de los casos, están menos preparadas para reaccionar ante los ataques que las grandes empresas.

Existen otros tipos de ataque menos dramáticos, pero más probables, que amenazan a la disponibilidad de las medianas y pequeñas empresas y, en consecuencia, a su rentabilidad y a la satisfacción del cliente. Por ejemplo, un ataque con robo de recursos accede las redes y los equipos informáticos, utilizándolos para el uso compartido ilegal de archivos, música, películas o software. Con frecuencia, las empresas no son concientes de que se está produciendo una infracción de seguridad. Entretanto, sus equipos y redes funcionan con lentitud a la hora de responder a los clientes, y su participación inadvertida en el uso compartido ilegal de archivos las hace vulnerables a demandas judiciales.

Consideración de Seguridad no. 4 – Lo Desconocido

Con cada nuevo avance en informática y comunicaciones, los hackers malintencionados encuentran nuevas formas de explotar los puntos vulnerables de la tecnología para su provecho o para hacer daño. Las nuevas versiones de hardware o software presentan una nueva oportunidad. La conexión de redes de punto a punto y la mensajería de Internet (IM) eran aún aplicaciones relativamente nuevas cuando sus usuarios fueron atacados por código malicioso escrito específicamente para ellas. Ahora hasta los teléfonos móviles son objetivo de los virus. Nadie sabe de dónde vendrá la próxima amenaza, pero la mejor defensa es la que cuenta con varias capaz de protección y permite adaptarse fácilmente a las futuras amenazas sin provocar la propia ruina.

Una red segura tiene que ser una que pueda usarse.

Consideración de Seguridad no. 5 – Legislación sobre Seguridad

Paralelamente a estas amenazas maliciosas contra la seguridad, las nuevas legislaciones y normativas exigen a ciertas medianas y pequeñas empresas que protejan la integridad y la privacidad de la información que se les ha confiado. La CNBV es un ejemplo en México de este tipo de entidades que emiten normativas al respecto, entidades generadoras de tarjetas de credito (Visa, MasterCard,etc.) a través de marcos como PCI DSS (Payment Card Industry Data Security Standard) también obligan a ciertas compañías a cumplir con marcos enfocados a salvaguardar la información en México y en el mundo enteo.

Como establecimos anteriormente, estas legislaciones y normativas son cada vez más comunes en México y Latinoamérica, por lo que la responsabilidad recae en las empresas para cumplir con las que aplican a sus negocios y mercados específicos. Desgraciadamente, muchas empresas se dan cuenta de que sus recursos no dan para tanto. Aún así, los clientes quieren garantías de que la información que han confiado a las empresas se mantenga confidencial.

Todas las empresas deben tomar medidas para proteger la infraestructura de sus negocios, pero las medianas y pequeñas empresas en particular necesitan soluciones sencillas, accesibles y del tamaño adecuado: Una Red Auto-Defensiva, que abarque todos los puntos de la red, colaborativa y que sepa identificar, prevenir y adaptarse a las amenazas de seguridad.

Conocer la normativa, procesos, mejores prácticas y tecnología que mejor se aplica a este tipo de organizaciones, son acciones que a la larga ayudan a incrementar la permanencia de las PyMEs, así como a mejorar su competitividad.

*Gilberto Vicente, Gerente de Soluciones de Seguridad, Cisco México