Software de protección de datos para empresas y la Ley Orgánica 3/2018, de Protección de Datos Personales
En un mundo donde las noticias se propagan rápidamente y la reputación en línea lo es todo, los ataques cibernéticos y las violaciones de datos son una amenaza masiva para las organizaciones de todo el mundo. Cuando se presentan los costos generales de la seguridad insuficiente, está claro que una estrategia sólida de seguridad cibernética es crucial para cada organización y que vale la pena invertir en software de protección de datos para empresas
Entonces, si está listo para subir de nivel su seguridad, uno de los lugares más importantes para comenzar es con sus empleados y su conocimiento y uso de las mejores prácticas de seguridad cibernética. Los siguientes consejos de ciberseguridad cubren la conciencia, seguridad básica, seguridad en línea, redes sociales, seguridad de datos , consejos para trabajadores remotos, pequeñas empresas y consideraciones para los CEO y CISO a tener en cuenta. Ademas le recuerdo que tiene la Ley Orgánica 3/2018, de Protección de Datos Personales
El primer paso para mejorar la seguridad en toda su organización es sensibilizar a los empleados. Son su mayor activo cuando se trata de seguridad, y su mayor responsabilidad. Hacer que los empleados piensen en la ciberseguridad como una prioridad es más fácil decirlo que hacerlo cuando tienen listas de tareas pendientes y fechas límite propias. Use los consejos a continuación para darle la mejor oportunidad: estos ayudarán a capacitar, informar y hacer que sus empleados se preocupen más por el papel que juegan en la seguridad cibernética de su organización.
- Muéstrales lo que hay para ellos . Gran parte de lo que los empleados aprenden durante la capacitación en seguridad en el trabajo se puede aplicar a la seguridad de su cuenta personal. Muéstreles el valor de la información en lo que respecta a su seguridad, no solo a los intereses de la empresa.
- Deje en claro que nadie está a salvo de un ataque . No se trata de si, sino cuándo sucede, qué tan rápido y eficaz pueden reaccionar los miembros del equipo para bloquear el ataque o minimizar el daño.
- Comience la capacitación de sensibilización durante la incorporación . Nunca es demasiado temprano para aprender buenos hábitos. Tiene mucho sentido integrar la ciberseguridad en el proceso de incorporación, ya que los nuevos empleados probablemente obtengan acceso a las cuentas, creen sus contraseñas y aprendan sobre los procesos de la empresa.
- Crear un plan oficial de capacitación en ciberseguridad . Para seguir el consejo anterior, debe haber un plan de capacitación organizado para los empleados que se actualice según sea necesario y accesible.
- Hablar sobre ética de los datos. "Cuando los empleados piensan en los datos éticamente, como pensar en el ser humano, la persona o la familia que representan los datos, las violaciones de datos son menos probables y su impacto podría reducirse".
- Educar sobre las políticas de privacidad de datos. Enseñe a los empleados que solo porque algunos datos están disponibles, el uso de esos datos puede estar restringido. Como ejemplo, la mayoría de las compañías mantienen listas de contactos que han optado por no recibir más correos electrónicos de ventas. Las personas que les envían correos electrónicos violan esta política.
- Traiga expertos en ciberseguridad y capacitación profesionales . Estos profesionales capacitados pueden involucrar a los empleados y exponer los conceptos básicos y específicos que deben conocer para su trabajo.
- Realice simulaciones de "emergencia" de ciberseguridad establecidas por su equipo de seguridad interno o una fuente externa. Estas simulaciones se deben adaptar a roles de trabajo específicos y centrarse en los ataques que los empleados podrían recibir para que puedan aprender puntos específicos y áreas para mejorar.
- Envíe actualizaciones periódicas sobre el protocolo, amenazas, nuevas estafas y virus, actualizaciones de software y otra información importante de seguridad cibernética.
- Comunicarse de manera clara y concisa. “Trate de mantenerse alejado de correos electrónicos largos y notas que muchos empleados leerán las primeras oraciones antes de eliminarlas. En su lugar, intente crear algunos videos, o tal vez cuelgue algunas infografías en las áreas principales de la oficina, como la sala de descanso o cerca de la fuente de agua ... Incluso si sus empleados no están tan interesados en la seguridad, leer repetidamente frases y acciones en forma visual. los ayudará a recordar dichos mensajes cuando ocurra algo fuera de lo común ".
- Realice un entrenamiento de seguridad regular. "A medida que surgen nuevas amenazas y patrones de amenazas, se debe implementar capacitación de seguridad regular a nivel de toda la empresa, para asegurarse de que los tipos de agujeros de seguridad que permiten que la actividad maliciosa penetre en la empresa no estén expuestos".
- Reconozca y recompense a los empleados que informan correos electrónicos maliciosos u otros ataques. Con tantas otras cosas en mente, esto ayudará a mantener la seguridad a la vanguardia.
- Cree una cultura amigable con la ciberseguridad designando defensores y manteniendo a los empleados motivados en general para mantener la integridad de sus mejores prácticas de ciberseguridad.
- Establecer el tono en la parte superior . “Los dueños de negocios son responsables de establecer la cultura de la empresa. Los propietarios que toman en serio la ciberseguridad influirán en sus empleados para que hagan lo mismo. Haga que la ciberseguridad sea parte de la conversación en el lugar de trabajo ".
Consejos de ciberseguridad para el lugar de trabajo
- Bloquee virtualmente y físicamente dispositivos, activos y almacenamiento de datos. Asegúrese de bloquear su dispositivo cada vez que lo deje desatendido y también asegúrese de que los dispositivos se bloqueen automáticamente cuando esté inactivo y que los servicios estén configurados para agotar el tiempo de forma agresiva cuando no se usen. Esto también se aplica a salas o ubicaciones de almacenamiento que contienen información o dispositivos sensibles.
- Utiliza un administrador de contraseñas. Los administradores de contraseñas generan contraseñas complejas únicas para cada sitio y servicio. No use la misma contraseña para varios sitios, y siempre use una combinación única de letras mayúsculas y minúsculas, números y otros caracteres. “Claro, generalmente hay una recomendación mínima de ocho caracteres, pero si sigues esa regla, estás facilitando que los piratas informáticos descifren esa contraseña. Como regla, siempre use el doble de la cantidad mínima de caracteres o incluso más ".
- Use la autenticación multifactor para capas de seguridad adicionales y para asegurarse de que las cuentas importantes no sean pirateadas fácilmente si las contraseñas se descifran. Utilice preferentemente opciones de MFA no basadas en SMS.
- Cifre sus datos, agrega una capa adicional de seguridad en caso de que sus datos se vean comprometidos.
- Copia de seguridad de datos a menudo . Si el almacenamiento de datos se ve comprometido, tendrá la mejor oportunidad de conservar esos datos si tiene una copia de seguridad segura.
- Monitoree su red en busca de actividad sospechosa , para que pueda detectar un ataque lo suficientemente temprano como para reducir el daño.
- Tenga cuidado con los dispositivos externos , como discos duros, unidades flash y teléfonos inteligentes, ya que pueden infectar su computadora cuando está enchufado.
- Nunca comparta información confidencial con una parte no autorizada . Esto puede sonar obvio, pero con demasiada frecuencia los empleados sienten algún tipo de presión social cuando alguien más les pide información (esto también se aplica a las personas dentro de su organización). Si hay alguna duda, diga no y consulte a un gerente para obtener permiso.
- No subestimes el interés de los piratas informáticos en tu empresa porque es más pequeña o está empezando: las infracciones y los ataques afectan a organizaciones de todos los tamaños, incluidas las empresas nuevas y las pequeñas empresas. Muchas herramientas de seguridad ofensivas escanean indiscriminadamente Internet en busca de vulnerabilidades en servicios, acceso remoto y aplicaciones web.
Consejos de ciberseguridad para la seguridad online
- Use VPN (redes privadas virtuales). Extienden su protección de red más allá de su red privada cuando está en otros sitios. Si alguien puede interceptar sus datos en línea, todo lo que quedará son datos cifrados.
- Siempre verifique las transacciones financieras con un gerente o CFO antes de tomar cualquier medida o enviar fondos.
- Verifique las transacciones informativas con un gerente o CISO. Nunca envíe datos confidenciales o contraseñas.
- Tenga cuidado al comprar o realizar operaciones bancarias en línea para la empresa, solo use dispositivos seguros aprobados por la empresa que le pertenezcan y proteja WiFi / redes cuando maneje estas tareas.
- Tenga cuidado con lo que comparte en las redes sociales . Ya sea que tenga una cuenta personal o laboral, los delincuentes pueden obtener información de los datos confidenciales que comparte que pueden ayudarlos a atacarlo.
- Estafa de phishing . Asegúrese de que los empleados estén informados sobre los signos de una estafa de phishing:
- Reduzca la velocidad y evalúe los correos electrónicos cuidadosamente antes de hacer clic o tomar medidas.
- Habilite las opciones del servidor de correo para etiquetar explícitamente los correos electrónicos que se originan desde fuera de la empresa.
- Nunca haga clic en los enlaces de un remitente desconocido antes de examinar cuidadosamente la URL. Pueden hacerse pasar por alguien de su compañía o una compañía de buena reputación, usar una URL similar a un sitio conocido, usar logotipos y cuentas de correo electrónico encubiertas; preste mucha atención a los detalles.
- Esté atento a solicitudes extrañas, errores ortográficos y gramaticales, contenido llamativo de cebo de clic y otras cosas que pueden parecer "fuera de lugar".
Consejos de ciberseguridad para el teletrabajo
- La capacitación especializada de trabajadores remotos es muy importante a medida que aumenta la popularidad del trabajo remoto. Esto también incluye a los empleados en el lugar que ocasionalmente trabajan desde casa o mientras viajan.
- Si tiene una política BYOD (traiga su propio dispositivo), use MDM (administración de dispositivos móviles) . Esto le dará el poder de limpiar un dispositivo de forma remota en caso de robo o pérdida de un dispositivo.
- Solo trabaje en redes y dispositivos seguros de confianza . La conexión WiFi gratuita o las computadoras públicas pueden ser atractivas, pero estas son entradas fáciles para que un hacker obtenga acceso a sus cuentas e información.
- Proporcione puntos de acceso WiFi móviles o planes de conexión. Proporcione a los trabajadores remotos puntos de acceso WiFi portátiles que se puedan usar en lugar de permitir conexiones a través de redes WiFi públicas. Estos puntos de acceso pueden ayudar a regular el acceso y también deben estar protegidos con contraseña e inicio de sesión.
Consideraciones a tener en cuenta para los propietarios de pymes
- Priorizar adecuadamente los riesgos de seguridad . “Muchas organizaciones están haciendo un mal trabajo al priorizar adecuadamente los riesgos de seguridad de la información. Parte de esto es un producto de cómo se presenta la información y el contexto dentro del cual se presenta. Las evaluaciones de riesgos de seguridad de la información y las evaluaciones de madurez son largas, demasiado complicadas y difíciles de resumir en una hoja de ruta priorizada ... La solución gira en torno a la comunicación. Basar el mensaje en términos de riesgo para la organización y hacer que ese sea el núcleo de sus informes es esencial ".
- Esfuércese por una comunicación abierta entre los miembros de la junta, C-Suite y el equipo de TI. “Cuando estoy comprometido a investigar e informar, normalmente es un problema que podría haberse resuelto sin un abogado externo, pero la falta de comunicaciones claras entre TI y la Junta obstaculizó esa comprensión. Es imperativo en la mayoría de las empresas tener un miembro de la Junta con conocimientos en el área que pueda comprender y comunicar problemas relacionados con la seguridad de TI y tener una voz en un área que la mayoría de los miembros de la junta no entienden ".
- Ofrecer entrenamiento adicional . Brinde a los empleados, especialmente a aquellos en la línea de fuego (ciberataque), la opción de continuar su capacitación en ciberseguridad y aprender nuevas habilidades preventivas y defensivas.
- Realice evaluaciones periódicas del rendimiento de su software, así como del conocimiento de los empleados. Esto lo ayudará a determinar dónde están sus debilidades y si la compañía necesita un curso de actualización sobre las mejores prácticas de seguridad.
- Establezca contraseñas y cuentas que caduquen para limitar que las cuentas obsoletas o los usuarios fantasmas comprometan su seguridad. El informe de riesgo de datos de 2019 mostró que el 61% de las empresas tenían más de 500 cuentas de usuario con contraseñas que nunca caducan.
- Cuando los empleados abandonen la empresa, asegúrese de revocar su acceso, credenciales y privilegios. Si no se controla, los empleados pueden llevar información a un competidor o proporcionar acceso a una parte maliciosa.
- Deshágase de los datos obsoletos . Representa una amenaza indebida y un riesgo de exposición de datos confidenciales en caso de que se produzca una violación. Purgue su base de datos de datos que ya no se necesitan. Los aspectos destacados del informe de riesgo de datos también mostraron que el 53% de los datos de las empresas están obsoletos.
- Actualice el software de manera oportuna para asegurarse de que sus defensas y redes sean lo mejor posible. Asegúrese de que los empleados se actualicen cuando sea necesario.
- Delegar responsabilidad . Nombrar expertos en seguridad que reporten al CISO para supervisar diferentes sectores de la empresa.
- Implemente el modelo de confianza cero . “Zero Trust restringe el acceso a toda la red al aislar las aplicaciones y segmentar el acceso a la red en función de los permisos, la autenticación y la verificación del usuario. Con Zero Trust, la aplicación y protección de políticas se implementan fácilmente para todos los usuarios, dispositivos, aplicaciones y datos, independientemente de desde dónde se conectan los usuarios. Este enfoque centrado en el usuario hace que la verificación de entidades autorizadas sea obligatoria, no opcional. Esta mentalidad de "confiar, pero verificar" es absolutamente esencial para las organizaciones actuales ".