Todas las empresas deberían resguardar su información. Conoce los pasos para estar preparado.

Como ya sabemos, la pandemia ha generado un gran aumento en las ventas online y en el uso de datos a través de internet. Sin duda, algo muy positivo para el crecimiento de nuevas plataformas y la economía, sin embargo, esto también trae un crecimiento de ciberataques, sobre todo a Pymes y pequeños negocios, las cuales generalmente no cuentan con protección frente a los virus, ni suelen realizar análisis de riesgos para prevenirlos. 

Para una micro, pequeña o mediana empresa, el riesgo frente a un ciberataque es muy grande, donde las pérdidas pueden ser gigantescas y relacionadas a suplantaciones de identidad, mala imagen para tu marca, pérdida de clientes, hasta el cierre total del negocio. Por lo mismo, resulta fundamental que si eres parte de una de ellas, debes tomar las medidas necesarias para evitar ser víctima de ciberataques. 

Análisis de riesgos

Una de las acciones más importantes para mejorar la seguridad de la información de los negocios es el análisis de riesgos, ya que ayuda a prevenir situaciones a las que tu empresa podría estar expuesto. Se trata de un proceso integrado en las compañías, que les permite enfrentar problemáticas que insegurizan la información, tales como: accidentes, virus y otros; ya que ayuda a tener una preparación previa para así minimizar el impacto. 

Por esto, creemos que tu empresa debiera realizar regularmente un análisis de riesgos, y en primer lugar, deberías conocer si tu negocio está protegido.

Para implementar la seguridad, te recomendamos hacer un análisis de riesgos de ciberseguridad rápido y fácil. Por eso, a continuación, te mostramos los pasos de un “Plan Director de Seguridad”. 

Pasos para implementar un análisis de riesgos

1. Definición del alcance

Establecer un alcance de los riesgos es fundamental para empezar a llevar un análisis de los mismos, considerando que la revisión cubra la totalidad del efecto del Plan Director de Seguridad, tomando en cuenta y seleccionando todas las áreas estratégicas en donde se busca aumentar y mejorar la seguridad. 

En esta misma etapa, existe la posibilidad de definir un alcance menor, que puede enfocarse en departamentos, procesos o sistemas en específico. Por ejemplo, tu empresa puede decidir realizar un análisis de riesgos del área de administración, de los procesos de producción o incluso de la gestión de su sitio web.

2. Identificación de los activos  

Ya con la primera etapa lista, es momento de saber y aclarar cuáles son los activos más importantes relacionados al objeto de estudio. En este caso, puede ser un área en específico o, incluso el negocio completo. 

En este caso, te recomendamos contar siempre con un inventario que tenga el detalle de todo el conjunto de bienes de la compañía y así poder mantenerte siempre organizado. De esta forma, por ejemplo, puedes incluir en cada fila el ID (para cada producto), nombre del producto, descripción, responsable (departamento o persona a cargo), tipo, ubicación en el sistema y si se encuentra en estado crítico o no. 

Cuando no es excesiva la data, puedes utilizar Google Sheets de G Suite, o Excel de Office 365.

3. Identificación y selección de amenazas

Ya tienes la etapa uno y dos concretadas, ahora debes indicar las amenazas a las que pueden estar expuestos. Claramente la cantidad de amenazas es enorme, por lo que, debes mantener un enfoque práctico y discernir aquellas que se relacionan a tus activos y a lo que haces en tu negocio. 

Por ejemplo, puedes considerar riesgos como daño a tu servidor por algún accidente, como caída de algún líquido en él, todo tipo de virus maliciosos y pérdida de información. 

4. Identificación de vulnerabilidades y salvaguardas 

Seguimos avanzando, y en esta nueva fase se estudian las características de tus activos. De esta forma, podrás identificar puntos débiles o vulnerabilidades de la seguridad de tu negocio. Una posible vulnerabilidad es un ordenador o servidor con un sistema de antivirus no actualizado o una serie de activos que se encuentran sin soporte y mantenimiento del fabricante. 

Además de esta parte, también se analizarán y documentarán las medidas de seguridad implantadas o salvaguardas en la organización. Estas pueden ser variadas, pero todas estas medidas reducen el riesgo de amenazas.  

Estas consideraciones (vulnerabilidades y salvaguardas) debemos tenerlas en cuenta cuando vayamos a estimar la probabilidad y el impacto como veremos en la siguiente fase.

5. Evaluación del riesgo

Una vez ya desarrolladas las distintas etapas anteriores, llega el momento de poder calcular el riesgo. En este caso, con cada bien y amenaza habrá que ver las opciones de que realmente dicha amenaza se materialice y se produzca un impacto sobre el negocio. 

Para el cálculo del riesgo se puede usar el método cuantitativo, cualitativo o ambos, esto quiere decir que se escribe el nombre de la amenaza/activo y se cuantifica la intensidad con un número del 1 al 10, por ejemplo; o en el caso cualitativo se escribe si la amenaza es alta, media o baja. También se puede utilizar el método porcentual, lo importante es que tú entiendas los valores asociados a cada amenaza o activo. 

6. Tratamiento del riesgo

Una vez que el riesgo es calculado, se deben tratar aquellos riesgos que superen el límite que se estableció en la fase anterior. Por ejemplo, es necesario tratar riesgos que superaron el número 10 o el concepto de riesgo alto. Existen cuatro estrategias que puedes utilizar para tratar el riesgo, estas son:

• Traspasar el riesgo a un tercero: esto puede ser contratando un seguro que cubra los daños a terceros producidos por fugas y pérdidas de la información. 
• Eliminar el riesgo: puedes borrar un proceso o sistema que tenga un riesgo elevado, por ejemplo, eliminar una red wifi, o algo que se pueda cambiar o prescindir. 
• Hacerse cargo del riesgo: de forma justificada se puede realizar esto, por ejemplo, el costo de instalar un grupo electrógeno (generador) puede ser demasiado alto, por lo tanto, los integrantes de tu organización podrían asumir estas tareas o costos. 
• Implantar medidas de mitigación: esto puede ser, por ejemplo, contratando un servicio de respaldo de información en la nube. Va a depender del tipo de riesgo. También hay herramientas como Firewall o Seguridad Virtual que permiten mitigar cierto tipo de amenazas.

Te recordamos que realizar un análisis de riesgos te entrega información de gran valor, además, contribuye, en gran medida, a mejorar la seguridad de tu empresa, cualquiera sea su tamaño. 

Por esto, te recomendamos llevar a cabo este tipo de proyectos de forma aislada y particular o dentro de un proyecto mayor, como el Plan Director de Seguridad (PDS). 

¿Y tú? ¿Estás preparado para enfrentar las eventualidades en tu empresa? Coméntanos y regístrate en Comunidad Empresas de Entel.