Los 10 comportamientos que suponen un riesgo de ciberseguridad para la empresa

Los ciberataques a empresas y organizaciones gubernamentales han aumentado un 30% durante la pandemia de Covid-19 que estamos viviendo, según un estudio de GData. Un elemento del que se benefician estos ataques es el fallo humano y, por eso, hoy queremos hablaros sobre los comportamientos más habituales que suponen un riesgo de ciberseguridad para las empresas.

Los ciberataques no solo afectan a las empresas

Uno de los mitos o creencias más extendidos entre la población general es que los ciberataques solo se producen en grandes empresas que disponen de grandes cantidades económicas en sus cuentas. Pero nada más lejos de la realidad: tanto pequeñas empresas como organismos oficiales también son víctimas de estos ataques. Un ejemplo muy reciente es la Generalitat de Catalunya

Hace unos días se hizo público que la Generalitat de Catalunya ha registrado unos 600 millones de intentos de ciberataque durante el primer semestre de 2020. Cabe destacar, pero, que sólo 620 de esos intentos pudieron traspasar sus barreras de seguridad y necesitaron la intervención de los técnicos de seguridad informática.

Un número importante de estos 620 ciberataques corresponden a phishing (314): cuando se hacen pasar por el banco o una unidad médica de confianza para recabar información personal y /o confidencial. Destacan también los robos de contraseña (84) y la suplantación de identidad, que se produjo en 29 ocasiones.

Según la Agencia de Ciberseguridad de Cataluña, el 70,7% de estos ataques corresponden a correo malicioso que utiliza el email para acceder a su sistema. Más de la mitad de los casos se producen porque el personal hace clic en enlaces de emails con trampa. Según Oriol Torruella, director de la Agencia de Ciberseguridad, es imprescindible formar a los trabajadores en ciberseguridad y en todos los niveles de responsabilidad.

10 comportamientos que son un riesgo de ciberseguridad

El caso de la Generalitat es uno de los miles que se producen cada año en el mundo. Por eso los expertos ponen especial interés en la formación en ciberseguridad de los trabajadores. Más de un 50% de los ataques se originan por un fallo humano.

Según un estudio Bitdefender, la principal preocupación para un 43% de los expertos encuestados, es que la falsa sensación de seguridad y privacidad que ofrecen los hogares hace bajar la guardia a los trabajadores. Lo que causa que no pongan tanto interés en algunos comportamientos y puedan facilitar el trabajo a los ciberdelincuentes.

A continuación, os explicamos los 10 comportamientos más habituales que suponen un riesgo para la seguridad informática de las empresas:

1.      Uso de redes sociales en el dispositivo de trabajo

El obligado confinamiento ha ocasionado que muchos de nosotros trabajemos desde casa y, en muchas ocasiones, la empresa no dispone de suficientes dispositivos y hemos de trabajar con nuestros ordenadores o tablets personales.

Sea cual sea el caso,  es muy habitual que los empleados accedan a sus perfiles en redes sociales, lean mensajes o se descarguen archivos de procedencia no verificada desde sus cuentas en Facebook, Twitter… en el dispositivo de trabajo.  Esto, junto con la publicación de imágenes o información relativa al día de trabajo, puede ofrecer valiosas pistas a los ciberdelincuentes y poner en riesgo dicho equipo.

Para una mayor seguridad, lo más acertado es evitar hacer uso de nuestro dispositivo de trabajo (aunque sea personal) para consultar las redes sociales. Así evitaremos que este dispositivo sea objetivo de los ciberdelincuentes.

2.      Ausentarse sin bloquear el equipo o cerrar sesión

Es habitual hacer una pausa y abandonar el puesto de trabajo sin tener en cuenta si queda bloqueado o no. Esto facilita que cualquiera pueda utilizar nuestro equipo.

En este caso, lo ideal es configurar los sistemas de bloqueo automático de los equipos y protegerlos con contraseñas robustas. Así evitaremos que nadie pueda hacer uso de nuestro dispositivo mientras no estemos.

Siguiendo este punto, es importante, también, que cuando finalicemos nuestra jornada apaguemos el equipo y que reforcemos este proceso. Es decir, apagar el dispositivo con un simple botón (lo más habitual) no es suficiente para que quede protegido. Lo mejor es cerrar sesión en todos los programas que hayamos utilizados. De este modo ponemos una “segunda” barrera para quien quiera acceder a nuestro dispositivo.

3.      Mala gestión de contraseñas y permisos de acceso

Esta es una de las asignaturas pendientes en materia de ciberseguridad para las empresas y que requieren de responsabilidad por parte de la empresa y el empleado.

Por un lado, las empresas han de establecer mecanismos de control de acceso para los empleados y limitar los permisos de acceso a determinados documentos o para la descarga de programas solamente para aquellos usuarios que realmente requieran de estos permisos. No tienen sentido que estos permisos estén al alcance de cualquiera y puedan usarse sin control, pues esto facilita que los ciberdelincuentes accedan más fácilmente a información delicada.

Por otro lado, el empleado ha de ser consciente que ha de utilizar contraseñas que sean robustas y difieran de las contraseñas de administrador para acceder a programas o correos. Es decir, deberá utilizar combinaciones alfanuméricas y abandonar la idea de usar contraseñas sencillas como “1234,…”

4.      Ausencia de copias de seguridad

Esta tarea no es responsabilidad única del departamento informático, sino que el empleado también ha de ser consciente de la importancia de las copias de seguridad. Sobre todo ahora con el teletrabajo.

Es vital que programemos copias de seguridad diarias que nos permitan guardar toda la información recabada durante el día en cualquiera de nuestros dispositivos móviles. Esta información ha de ser guardada en una zona segura y cifrada para evitar la pérdida de datos.

5.      Envío de correos masivos a clientes

El envío de correos masivos nos puede parecer una buena opción para comunicar a varios usuarios una información determinada o para una campaña de marketing, pero este es uno de los principales factores de riesgo para la ciberseguridad de la empresa.

En muchas ocasiones se envían email en los que figura una lista abierta de clientes sin tener en cuenta su privacidad. Esto es un descuido muy grave por dos motivos: no se cumple la LOPD y se puede facilitar una lista de posibles objetivos a los ciberdelincuentes en caso de ser atacados.

6.      Utilizar dispositivos externos en los equipos de trabajo

El caso más común es el uso de dispositivos de memoria externa (USB). Para evitar riegos, lo mejor es que cada vez que utilicemos un USB se analice o formatee para prevenir la entrada de malware en los equipos informáticos.

Una alternativa puede ser compartir dichos documentos en la Nube, algo mucho más seguro que el uso de USB u otros dispositivos de almacenamiento.

7.      Subir archivos a la Nube sin cifrarlos

Si bien, la nube es una buena alternativa para evitar el uso de dispositivos externos que pueden estar infectados, se ha de tener en cuenta que también tiene sus riesgos.

Para evitarlos, lo ideal es que cualquier información sensible o que contenga datos confidenciales tenga unas mínimas medidas de precaución, entre las que se encuentra el cifrado de datos.

8.      Hacer un uso incorrecto de los dispositivos móviles corporativos

El móvil se ha convertido en una de las herramientas más utilizadas durante el confinamiento y en una de las principales preocupaciones para la ciberseguridad de la empresa.

Conectarse al correo de empresa desde una Wifi pública puede poner al alcance todos datos sensibles para la empresa. Del mismo modo, utilizar servicios de mensajería instantánea para compartir archivos puede provocar el “hackeo” del dispositivo en el que guardas información confidencial.

Por eso es vital que tengamos en cuenta ciertas medidas de como no conectarse a redes Wifi desconocidas, no compartir información sensible mediante ellos o contar con protección específica para dispositivos móviles.

9.      Descargar archivos desde correos de empresa o personales

El correo electrónico es la principal puerta de entrada para la amenazas a la ciberseguridad, tanto para la empresa como para el individuo.

Para evitar estas amenazas es recomendable no acceder al correo personal en el ordenador de trabajo y, si se hace, no descargar ningún archivo adjunto sin ser previamente analizado con el antivirus.

10.    No informar de incidentes o problemas con los dispositivos utilizados para el trabajo

En muchas ocasiones los empleados no informan de incidentes o problemas con los dispositivos utilizados ya sea por miedo a las represalias o por la falta de información sobre las consecuencias de una mala decisión. Esto da a los ciberdelicuentes un tiempo muy valioso que, en un ataque cibernético, es de oro.

Por este motivo, es esencial que el empleado comunique al departamento informático cualquier incidente relacionado con el email o posibles interferencias externas en el mismo momento que ocurra. Así daremos cierta ventaja a los responsables de seguridad para poder reaccionar rápidamente y evitar daños mayores.

Es muy fácil que a lo largo de la jornada tengamos alguno de los comportamientos comentados y que lo hagamos de forma no intencionada. Por eso es de vital importancia que la empresa facilite la formación de los empleados  para  que sean más conscientes y ayuden a minimizar los riesgos. Además de esto, desde Interbel s) os recomendamos que contéis con una solución integral de seguridad para la empresa como puede ser GData, la solución más completa para proteger tu empresa.