Cualquier analista programador sabe que toda empresa, incluidas empresas de informática, puede ser víctima de los ciberdelincuentes. Por eso hay que elaborar planes de acción para responder adecuadamente ante eventuales ciberataques. Las fases son cuatro: prevención, detección, recuperación y respuesta.
En cuanto a la prevención, a día de hoy es imposible crear un entorno informático 100% inaccesible para los delincuentes informáticos. Lo que sí se puede es constituir un entorno preventivo que dificulte el acceso a los hackers con una serie de medidas de ciberseguridad preventivas de dos tipos:
Medidas preventivas organizativas
- Implementar buenas prácticas para la gestión de la fuga de información.
- Definir una política de seguridad adecuada.
- Establecer un sistema de clasificación de la información.
- Definir roles y niveles de acceso a la información.
- Proteger el papel (destrucción de documentos, conservación de la documentación, políticas de clean desk …).
- Sistemas de control de acceso a los ordenadores y sistemas de comunicación (móviles y tablets).
- Control de los dispositivos extraíbles.
- Desarrollo de planes de formación en ciberseguridad y seguridad de la información. El objetivo es la sensibilización y la formación de los usuarios.
- Contar con ciberseguros para proteger a las entidades frente a riesgos cibernéticos y el uso inadecuado de las infraestructuras tecnológicas.
Medidas preventivas legales
En Imagar te recordamos que son las relativas al cumplimiento de la legislación correspondiente sobre el tratamiento de datos de carácter personal (LOPD y RLOPD). Hay que contar con un sistema adecuado de investigación de incidencias y violaciones de seguridad de los datos.
- Solicitud de aceptación de la política de seguridad a los empleados.
- Cláusulas contractuales con los empleados sobre custodia, conservación y utilización de la información.
- Cláusulas contractuales con terceros en materia de confidencialidad.
- Política de uso de medios tecnológicos para determinar el alcance del uso de los dispositivos y medios por parte de los empleados.
La detección, aspecto clave
Para detectar posibles fugas de información y reducir su impacto hace falta una buena política de detección. A veces no se conoce esa irrupción hasta que la información sustraída se revela al público o a la red.
Las principales medidas en la fase de detección son de tipo técnico. Es imprescindible una continua monitorización de los sistemas para detectar entradas sospechosas. Hay otras medidas legales y organizativas como:
Medidas de detección organizativas: diseñar un protocolo interno de gestión del incidente para identificar las medidas a adoptar.
Medidas de detección legales: se deben registrar las incidencias o brechas de seguridad en el Documento de Seguridad de la empresa. Para que quede constancia del tipo de incidencia, del momento en que se ha detectado, de los efectos que ha producido y de las medidas correctoras aplicadas.
La fase de recuperación
Cuando se detecta una entrada ilegal en los sistemas informáticos de una empresa hay que implementar un plan organizado de recuperación. El objetivo es recuperar el sistema. Se deben implantar medidas técnicas de recuperación de la información. Por ejemplo, backups de los sistemas y copias de seguridad.
Entre las medidas organizativas a desarrollar destaca la elaboración de planes de continuidad que contemplen posibles situaciones que puedan darse como consecuencia de ataques informáticos y que deriven en situaciones como:
- robo de información
- bloqueo del sistema
- borrado de datos.
Cuando se sufre un ataque informático hay que informar a los clientes de las empresas y a los propios trabajadores. Todo con una estrategia de comunicación integral para minimizar la difusión de la información sustraída.
El nuevo Reglamento General de Protección de Datos establece que “se debe comunicar a los interesados sin dilación debida toda violación de la seguridad que afecte a sus datos personales, siempre que entrañe un alto riesgo para los derechos y libertades de las personas físicas titulares de los datos objeto de la vulneración”. Del mismo modo, se debe enviar una comunicación a los empleados sin olvidar que muchos ataques informáticos se producen a través de dispositivos móviles de los trabajadores, por conexiones a redes wi-fi inseguras o por el uso de contraseñas fáciles de descifrar.
