Según datos proporcionados por el Ministerio del Interior, con referencia a la ciberseguridad, durante el año 2014 se detectaron 18000 ataques cibernéticos, 63 de estos ciberataques resultaron ser de extrema gravedad y algunos dirigidos a la infraestructura estratégica básica, concretamente cuatro a centrales nucleares. España es el segundo país del mundo, tras los EE UU, que mayor número de ataques soporta y el decimoquinto (séptimo europeo) que más ciberataques genera.
Se ha detectado que el 80% de las empresas presentan sus sistemas de información con al menos 5 vulnerabilidades graves que, por regla general, pueden ser solucionadas muy fácilmente. Además el 45% de los ciberataques se detectan después de tres meses con lo que las consecuencias del impacto aumentan todavía más. El 45% del software instalado es ilegal y el 33% de los internautas no prestan atención alguna a la seguridad de las páginas web a las que acceden y los dispositivos móviles carecen de antivirus. El 95% de los delitos relacionados con las tecnologías de la información quedan impunes según el Ministerio del Interior.
Viendo el presente panorama preocupa la percepción de las Pymes respecto a la ciberseguridad puesto que, en general, no se sienten especialmente afectadas; sin embargo los datos confirman que son objetivo mayoritario y fácil de los ciberdelincuentes tal como aparece en el informe de Panda Security de 2015 donde el 75% de los ciberataques se dirigen a Pymes de menos de 100 trabajadores.
La situación es desoladora, solo el 9% de las empresas aplican medidas de seguridad en los terminales y dispositivos móviles, menos del 50% aplica medidas de seguridad para el correo electrónico y el 45% no protege los datos de terceros (proveedores, colaboradores, etc.). Con todos estos datos no resulta extraño que, tal como se indicaba al inicio, España sea origen de gran número de ataques puesto que los ciberdelincuentes acceden a los sistemas más vulnerables para utilizarlos como base de ataques masivos a otros objetivos.
Hay una serie de razones por las que se ha llegado a esta situación. La percepción de la empresa de que su información no interesa a nadie, tal como hemos indicado anteriormente, supone un grave error ya que independientemente de la información, sus sistemas sirven para desencadenar ataques a terceros. Delegar la responsabilidad de la seguridad en el informático es otro error muy común, se debe de implicar a todo el personal de la empresa. No solo se puede confiar en los antivirus, hay que considerar una infraestructura de seguridad más amplia con cortafuegos, soluciones antimalware, detección de intrusos, etc. que abarquen a toda la organización. Tener en cuenta que hay que salvaguardar datos e información a la que hay que aplicar principios de confidencialidad y cumplimiento de normativa; el nuevo reglamento europeo de protección de datos contempla sanciones de hasta el 5% de la facturación. Es frecuente pensar que los ataques son externos, no obstante la mayoría son de origen interno, errores o comportamientos malintencionados de los empleados y fallos técnicos en configuraciones de privacidad y seguridad.
Afortunadamente gracias a los recursos cloud disponibles la Pyme está en condiciones de adoptar estrategias de ciberseguirdad que, al igual que las grandes corporaciones, están basadas en estos cuatro pilares:
- Prevención de ataques y amenazas.
- Seguridad gestionada mediante la externalización.
- Vigilancia digital monitorizando lo que hay y se dice en Internet.
- Cumplimiento de la normativa.
En relación con todo lo aquí expuesto el INCIBE pone a disposición de las Pymes una serie de recursos y las siguientes recomendaciones de ciberseguridad:
- Comprender y gestionar los riesgos.
- Actualización de software y configuraciones seguras.
- Protección de la red mediante la configuración segura de routers, wifi, etc.
- Soluciones antimalware para evitar ataques a terceros.
- Gestión de acceso a los sistemas mediante la asignación de privilegios de usuario adecuados.
- Gestión y control de los dispositivos extraíbles, pendrives, discos duros, etc.
- Monitorización y control de redes y servicios.
- Implementación de buenas prácticas mediante sensibilización y formación de los usuarios.
- Control de los dispositivos móviles del personal de la empresa.
- Gestión de incidentes y continuidad de negocio mediante planes de contingencia y recuperación de desastres.
