El treinta de noviembre de cada año se celebra el Día Internacional de la Seguridad Informática, y creo que es un buen momento para darle un repaso. Este término, seguridad informática, es muy amplio. Lo impregna todo: ordenadores personales, dispositivos móviles, copias de seguridad, privacidad, control del acceso a la información, sitios web, almacenamiento en la nube, etc. Como todo esto da para escribir varios libros, en este artículo voy a centrarme solamente en algunos aspectos básicos, pero no por ello menos importantes, de la seguridad informática que una empresa con presencia en el mundo digital debe conocer y cuidar.
LOS EMPLEADOS DE LA EMPRESA
Es importante que los empleados de una empresa cuiden la seguridad informática de sus equipos y tengan hábitos saludables en la utilización de las tecnologías de la información y las comunicaciones (TIC). Si esto no se cumplen corremos el riesgo de publicar en el sitio web de la empresa documentos infectados con ‘malware’ (software malicioso), que secuestren los ordenadores de la empresa con ‘ramsonware‘ o que nos roben información confidencial.
SEGURIDAD INFORMÁTICA EN LA EMPRESA
Esta, además de concienciar, formar y poner los medios necesarios para que sus empleados adopten buenas prácticas de seguridad informática, tiene también importantes tareas que cumplir. Todas ellas se resumen en la creación e implantación del llamado Sistema de Gestión de la Seguridad de la Información (SGSI), cuyos principales objetivos detallo a continuación. Es importante que las empresas se pregunten si están cumpliendo estos objetivos, y si la respuesta es negativa que pongan los medios para cumplirlos.
- Definir y hacer cumplir una política sobre el uso de los ordenadores de la empresa: política de contraseñas, programas informáticos oficiales permitidos, política de instalación de programas, uso de memorias USB, dispositivos que pueden o no conectarse a los ordenadores, etc.
- Política sobre dispositivos móviles: debe contemplar qué dispositivos móviles permite la empresa y en qué condiciones se deben utilizar. Si los empleados pueden utilizar sus equipos, algo que se conoce como BYOD (del inglés ‘Bring Your Own Device’, ‘Trae Tu Propio Dispositivo’) , se debe definir en qué condiciones. Sean los equipos móviles de los empleados o de la empresa, se debe marcar una política sobre el cifrado de la información de teléfonos, tabletas y portátiles que salen de la empresa, de su bloqueo con contraseñas u otras medidas y de los medios de conexión a internet que estos dispositivos deben utilizar. Pregúntate qué consecuencias tendría que los dispositivos móviles que se utilizan en tu empresa se perdieran o los robaran.
- Protección de la información: todas las empresas tienen ordenadores donde almacenan su información. En algunos casos son equipos localizados en las oficinas de la empresa y en otros casos son equipos localizados en la nube, en internet. En cualquier caso se debe definir y cumplir una política que garantice que sólo aquellas personas autorizadas acceden a una determinada información. Debe considerarse que la principal fuente de fuga de información son los empleados. También debe garantizarse la salvaguarda de la información a través de una política de copias de seguridad adecuada.
- Plan de contingencia: de todos los aspectos de la seguridad informática en una empresa mi experiencia me dice que este es el más descuidado. En Madrid, en el año 2005, se incendió la Torre Windsor. De la noche a la mañana las oficinas de muchas empresas ya no existían. Las empresas que sobrevivieron al desastre tenían un plan de contingencia. Preguntémonos: si debido a cualquier siniestro tu empresa física desaparece, ¿tienes una plan que detalle los pasos a dar para ponerla de nuevo en marcha?, ¿serías capaz de recuperar toda la información que tu empresa necesita para funcionar?, ¿en cuánto tiempo serías capaz de volver a atender a tus clientes y en tener la empresa operativa al cien por cien?
En resumen, la seguridad informática es algo importante que toda empresa debe atender. El Día Internacional de la Seguridad Informática es buen momento para la reflexión, pero no es cosa de un día y las empresas debemos atender la seguridad todo el año.
1,468 total views, 2 views today