Los ciberataques son una realidad que afecta a muchas empresas y particulares. No importa que sea una empresa pequeña o una grande, el SEPE es uno de los ejemplos de ciberataques más conocidos.

La empresa más grande de empleo que existe, en la que hay millones de datos de usuarios ha visto como en los últimos tiempos ha estado expuesta a ataques constantes. En ella no solo hay datos de usuarios, sino que se esconden elementos de alta sensibilidad, las cuentas bancarias o incluso los problemas médicos de algunos usuarios han podido ser expuestos a ataques que no han podido ser controlados.

Pese a, en teoría, disponer de las mejores herramientas, no se ha controlado correctamente esta inversión en seguridad. Las pymes tienen el gran reto de pasar por delante a la administración pública en estos aspectos.

Los ciberataques en las Pymes son una realidad. Millones de personas están expuestas a que pueda suceder en cualquier momento. Las incidencias de los ciberataques en las pymes, al igual que en el SEPE puede darse, pero siempre desde la perspectiva de que hay algo más detrás de cada uno de ellos.

Hay una serie de pasos que un delincuente comete para los que las empresas deben estar listos. Recibir una correcta formación y contar con los expertos necesarios para evitarlos puede marcar la diferencia en todos los aspectos. Es el momento de apostar fuerte por lo que está escondido detrás de una serie de problemas que llegan sin avisar.

Una correcta vinculación de las redes sociales con la empresa y un control de los correos, la puerta de entrada a los ataques puede acabar siendo fundamental. Millones de personas han visto llegar a su vida unos problemas virtuales que empiezan con un gesto tan inofensivo como abrir un correo.

Tener buenos filtros que envíen el spam en otra dirección o disponer de los elementos claves para poder cambiar para siempre este elemento es lo que marcará el antes y el después.

Los ciberataques son en esencia una especie de antesala de lo que está llegando sin que nos demos cuenta. Presentes en algunas empresas, deben controlar algo tan esencial como a las personas que forman parte de la organización. Hay una forma de proteger las herramientas que se usan en el día a día, pero también debería haber una forma de mantener a salvo a las personas que las usan.

Disponer de las herramientas formativas claves puede ser un reto totalmente asumible, siempre y cuando se invierta en ello. Detrás de cualquier ciberataque hay una persona que conoce bien la organización.

A través de las redes sociales se puede conseguir conectar con algunas personas de dentro de la empresa que podría acabar siendo clave para poder determinar los fallos de seguridad de dentro de la empresa.

Un ciberataque se puede prevenir con una serie de actuaciones que serán importantes y que realmente es posible atender. La ciberseguridad es uno de los elementos en los que invertir puede salir barato. Un básico que al igual que cualquier otro elemento de la empresa, debe controlarse y aceptarse.

Los ciberataques son una realidad que afecta a muchas empresas y particulares. No importa que sea una empresa pequeña o una grande, el SEPE es uno de los ejemplos de ciberataques más conocidos.

La empresa más grande de empleo que existe, en la que hay millones de datos de usuarios ha visto como en los últimos tiempos ha estado expuesta a ataques constantes. En ella no solo hay datos de usuarios, sino que se esconden elementos de alta sensibilidad, las cuentas bancarias o incluso los problemas médicos de algunos usuarios han podido ser expuestos a ataques que no han podido ser controlados.

Pese a, en teoría, disponer de las mejores herramientas, no se ha controlado correctamente esta inversión en seguridad. Las pymes tienen el gran reto de pasar por delante a la administración pública en estos aspectos.

Los ciberataques en las Pymes son una realidad. Millones de personas están expuestas a que pueda suceder en cualquier momento. Las incidencias de los ciberataques en las pymes, al igual que en el SEPE puede darse, pero siempre desde la perspectiva de que hay algo más detrás de cada uno de ellos.

Hay una serie de pasos que un delincuente comete para los que las empresas deben estar listos. Recibir una correcta formación y contar con los expertos necesarios para evitarlos puede marcar la diferencia en todos los aspectos. Es el momento de apostar fuerte por lo que está escondido detrás de una serie de problemas que llegan sin avisar.

Una correcta vinculación de las redes sociales con la empresa y un control de los correos, la puerta de entrada a los ataques puede acabar siendo fundamental. Millones de personas han visto llegar a su vida unos problemas virtuales que empiezan con un gesto tan inofensivo como abrir un correo.

Tener buenos filtros que envíen el spam en otra dirección o disponer de los elementos claves para poder cambiar para siempre este elemento es lo que marcará el antes y el después.

Los ciberataques son en esencia una especie de antesala de lo que está llegando sin que nos demos cuenta. Presentes en algunas empresas, deben controlar algo tan esencial como a las personas que forman parte de la organización. Hay una forma de proteger las herramientas que se usan en el día a día, pero también debería haber una forma de mantener a salvo a las personas que las usan.

Disponer de las herramientas formativas claves puede ser un reto totalmente asumible, siempre y cuando se invierta en ello. Detrás de cualquier ciberataque hay una persona que conoce bien la organización.

A través de las redes sociales se puede conseguir conectar con algunas personas de dentro de la empresa que podría acabar siendo clave para poder determinar los fallos de seguridad de dentro de la empresa.

Un ciberataque se puede prevenir con una serie de actuaciones que serán importantes y que realmente es posible atender. La ciberseguridad es uno de los elementos en los que invertir puede salir barato. Un básico que al igual que cualquier otro elemento de la empresa, debe controlarse y aceptarse.

Esto está provocando que la demanda de expertos en seguridad aumente de tal manera que se quedan sin cubrir 3 millones de puestos en todo el mundo, según el informe Cybersecurity Workforce Study de (ISC), una organización mundial de profesionales en seguridad informática.

¿Consecuencia de esto? Que, pese a que el perfil de experto en ciberseguridad no sea el más demandado, sí es uno de los dos más cotizados según el Informe del Mercado Laboral de Adecco: la posición de CISO (Chief Information Security Officer, jefe de seguridad) tiene un salario que, según este informe, oscila entre los 45.000 y los 95.000 euros en nuestro país.

¿Cómo convertirse en un experto en seguridad? Quizá el perfil típico o más tradicional de ciberseguridad está más asociado al perfil de un ingeniero en informática o telecomunicaciones, con experiencia en área de sistemas, redes y cloud y una especialización en seguridad. Como especifica Javier Tobal, Ingeniero informático, Perito judicial informático y CISO en Fintonic, dado que hay muchos aspectos que confluyen en la ciberseguridad “se deberían conocer, entre ellos: desarrollo de software, arquitectura de sistemas, diseño y arquitectura de redes”.

Una visión con la que coincide Francisco Ángel Marzal, coordinador académico del Grado en Ingeniería del Software y del Doble Grado en Ingeniería del Software y Matemática Computacional en U-tad, quien enumera además dos campos adicionales: Normativa y Legislación y, dependiendo del área de ciberseguridad al que te quieras dedicar, Hacking ético, Bastionado, desarrollo de software seguro y Análisis Forense..

Hablando de legislación: no todos los expertos en ciberseguridad tienen por qué tener un perfil eminentemente técnico. Elena Cobo-Reyes, consultora de IT&TELCO de Spring Professional, explica que la ciberseguridad tiene muchos nichos y submercados y que, por tanto, en función de las funciones que la persona va a llevar a cabo dentro de una empresa, su perfil será más técnico o menos. En este terreno, cada vez tiene más impacto el ámbito legal. “Cualquier protocolo o procedimiento tiene que ir de la mano del aspecto legal”, sobre todo cuando los datos entran en juego. En función de la sensibilidad de estos datos (no es lo mismo sector sanitario o público o bancario que el resto de sectores que es una protección de especial sensibilidad), más importante será este rol legal.

Con el auge de los puestos de expertos en ciberseguridad algunas universidades empiezan ya a ofrecer titulaciones de Grado en Ciberseguridad, en muchos casos como especialización de grados en informática. Pero, ¿es necesario tener una titulación superior para trabajar en este campo?

Javier Tobal añadiría a esta lista los dobles grado de Administración y Dirección de Empresas e Ingeniería Informática así como los másteres en ingeniería de informática.

“Lo bueno del sector tecnológico es que, bien por necesidad o bien porque muta demasiado en tres años, es muy abierto. No tienes porqué ser un ingeniero superior para dedicarte a ciberseguridad”, apostilla Elena Cobo-Reyes, quien no obstante sí que reconoce que para puestos de mayor responsabilidad (como director de seguridad, CISO) sí que las empresas optan por perfiles titulados, aunque el factor determinante acabe siendo “la formación específica y que vengan con experiencia”.

Todos estos expertos aseguran que el campo de la ciberseguridad es tan amplio y se está ensanchando tanto que quienes quieran trabajar aquí deberían especializarse en algunas de sus áreas.

Por un lado, hay certificaciones como CEH, OSCP, CHFI que son “muy demandadas en el mundo laboral”, según el coordinador de UTad.

Basta mirar el Libro Blanco del CISO para comprobar la cantidad de certificaciones que existen en ciberseguridad: CCSP (Certified Cyber Security Professional), CDPD (Certificación de Delegado de Protección de Datos), CDPP (Certified Data Privacy Professional), CISA (Certified Information Systems Auditor), Certificación para auditores de ISACA (Information Systems Audit and Control Association – Asociación de Control y Auditoría de Sistemas de Información), CISM (Certified Information Security Manager), CISSP (Certified Information Systems Security Professional)….

“De la universidad se sale con unas bases generalistas, pero los problemas reales se ven en la calle, en las empresas y organizaciones a las que atendemos”, explica Lorenzo Martínez para justificar que se ha de complementar la formación con algo más específico para la ciberseguridad. “En mi empresa, Securízame, en la que nos dedicamos día a día íntegramente a dar servicios de ciberseguridad, lanzamos desde 2014 una serie de cursos especializados en materias como hacking ético, securización de sistemas o análisis forense, y también tenemos un plan semestral de acciones formativas con temarios específicos para desarrollar y potenciar esos conocimientos”.

Aunque gran parte de estas certificaciones y especializaciones son muy técnicas, cada vez se demanda más que los profesionales de la ciberseguridad controlen de otros asuntos, como los aspectos legales. Por eso, para muchos de estos expertos con los que hemos hablado apenas hay duda de que se hace necesario que los profesionales tengan formación en ética/legal.

El campo normativo y legislativo cada vez más extenso que afecta a la seguridad informática (como RGPD, NIS, PSD2, etc.) obliga a ello. “El saber no ocupa lugar (aunque quita tiempo que se puede dedicar a aprender o mejorar otras cosas). Hay tanto por conocer, que es importante seleccionar. Tener conocimientos de derecho (básico) sobre todo si te vas a dedicar a labores de peritaje informático, que luego deberás ratificar en sala, es importante”, explica Javier Tobal, quien también recomienda desarrollar las capacidades personales de exposición en público. “Cada vez es más importante hacerse entender, tanto de forma escrita como oral. Tanto para hacer un informe a un cliente, como exponer oralmente su contenido de forma resumida, creo importante que se lleven a cabo este tipo de acciones que mejoren las capacidades de comunicación”.

Esta formación complementaria se hace más necesaria conforme van pasando los años y, sobre todo, si se aspira a puestos de más responsabilidad. “Tener la visibilidad del negocio y cómo se aplica la ciberseguridad en él es vital para tu desarrollo profesional”, explica la consultora de IT&TELCO de Spring Professional. “En tecnología tendemos mucho a perfiles 4×4, que pregunte, que tenga inquietudes”.

Esta misma experta asegura que la especialización en el campo de la ciberseguridad llega más con el tiempo, aunque aparezcan nuevos estudios específicos sobre la materia. “De la noche a la mañana no puedes transformar a una persona porque tienes que coger experiencia”.

¿Cómo podemos lograrla? Actualmente existen muchas compañías que en estas nuevas áreas hacen hub de preparación, por lo que si estás interesados puedes acceder a estos recursos. También existen eventos CTF (Capture The Flag) en los que se plantean retos para resolver o plataformas como hackthebox donde puede ejercitar tus conocimientos. “Estas son dos buenas iniciativas para iniciarte y hacer contactos en este sector además de resolver simplemente problemas”, explica Francisco Ángel Marzal, mientras que Javier Tobal considera que es útil tener experiencia “manejando un depurador de código (debugger tipo IDA), un analizador de red (por ejemplo, wireshark) y las herramientas de hacking más populares (las que se pueden encontrar en distribuciones forenses como KALI)”.

Como concluye Lorenzo Martínez, “no hay excusa para no practicar por tu cuenta. Con alternativas gratuitas como Virtualbox puedes montar un laboratorio con multitud de máquinas en las que probar diferentes sistemas operativos, tanto la explotación de sus debilidades, como soluciones de seguridad funcionando sobre ellos, o incluso las trazas forenses que quedan tras la ejecución de determinadas acciones”.

Y, aunque obtengas tu primer trabajo como junior “no es bueno quedarse con que la formación se termina cuando acaba la jornada laboral, sino que la pasión por el saber más y mejorar, aunque sea como autoformación, debería ser algo complementario a lo visto en el trabajo”.

No sólo las empresas objeto de ciberataques son grandes corporaciones y multinacionales sino que debemos pensar que de estos ataques no están libres otras entidades y, sobre todo, las PYMES.

Las pequeñas empresas tienen subcontratados con terceros proveedores sus servicios de correo, hosting, cloud, mantenimiento informático, etc; otras tienen servidores propios o simples PCs. Pero ¿saben realmente estas empresas qué tienen subcontratado y hasta dónde alcanza su responsabilidad en caso de ser víctimas de un ataque informático o una brecha de seguridad?

Uno de los grandes riesgos que también tiene la digitalización es que las organizaciones se están autogestionando en algunos aspectos. Del mismo modo que en la medicina nos autodiagnosticamos e incluso tratamos mediante la información  que obtenemos de Internet; en estas materias encontramos cantidad ingente de información que copiamos y pegamos a nuestro arbitrio sin tener en cuenta las consecuencias que puede conllevar.

En este sentido, las organizaciones deben tener muy presentes el riesgo que supone lo anteriormente tratado y que implica que la organización no tenga una estrategia de medidas de seguridad en la que se evalúe el riesgo de la seguridad, la probabilidad de que ocurra y el impacto que tendrían en la organización.

En los planes de viabilidad de las compañías, el Compliance Digital debe ir encontrando su hueco y estar entre las prioridades de la agenda de los directivos, ya que los servicios y actividades se pueden externalizar y subcontratar pero la responsabilidad no y en esto está en juego la cuenta de resultados de la compañía porque las sanciones y crisis de reputación que pueden derivarse de las infracciones en seguridad de la información pueden dejar a las organizaciones fuera del mercado.

La mayor protección que puede tener una empresa es la prevención  y está en manos de sus directivos la oportunidad de ser proactivos y definir una estrategia de seguridad y Compliance Digital o ser reactivos y, cuando ocurran las vulnerabilidades; pagar rescates, sanciones, o resignarse a perder una información que puede ser crucial no sólo para su negocio sino para su continuidad.

En los ciberataques en empresas: ¿importa el tamaño? ¿Se exponen más las empresas grandes a recibir un ciberataque? ¿O son las compañías pequeñas las de mayor vulnerabilidad a los piratas informáticos? Algunos informes cifran en 500.000 millones de euros el coste anual del cibercrimen. ¿Cómo nos podemos defender ante estas invasiones?

CIBERATAQUE EN EMPRESAS: ¿CÓMO PROTEGERNOS?

CIBERATAQUE EN EMPRESAS: ¿NECESITAS A UN EXPERTO?

Tener una experto en ciberseguridad en la empresa es positivo. O, eso al menos, es lo que dicen en el INCIBE. Este trabajador sería como un vigilante del ciberespacio. Tendría la responsabilidad de analizar de manera continua los riesgos de sufrir un ciberataque. Se ocuparía de implantar las medidas de ciberseguridad precisas para reducir el riesgo al mínimo. Y sería un profesional con los reflejos suficientes para reaccionar de manera adecuada ante cualquier intento de allanamiento.

Todas las grandes firmas suelen tener un departamento de Informática con este tipo de especialistas. Las pymes, sin embargo, no. Si este es tu caso, te informo de que hay tres canales que te pueden ayudar.

El primero es el INCIBE-CERT. Su objetivo es “la lucha contra los delitos que involucran a las redes y sistemas de información”. A sus oficinas llegan los datos de todos los ciberataques que se han producido. De este modo, pueden elaborar avisos y alertas en caso necesario. Cualquier ciudadano o empresa puede pedir su ayuda. A veces, incluso, es el propio centro el que advierte a un usuario que está a merced de los piratas informáticos. En su página web cuelgan guías, videotutoriales y herramientas que puedes descargar gratis. También publican un listado de direcciones de empresas especializadas en ciberseguridad, por si te interesa.

El segundo canal es la Oficina de Seguridad del Internauta. Se dirige a usuarios poco informados en este tema del cibercrimen. Su web está, por ello, llena de consejos y prototipos de actuación. En esta página puedes enterarte de casos reales que le ocurren a los empresarios en su día a día. De hecho, prácticamente lo primero que ves al entrar es el botón “Cuéntanos tu historia”.

Por último, tienes el CERTSI. Es un portal de respuesta a incidentes en la red. “Prestamos servicio”, dicen, “a los incidentes de ciberseguridad que notifican ciudadanos y empresas de este país”. Es decir, ponen a tu disposición su  “capacidad tecnológica” para solucionar las faenas que te hayan hecho.

CIBERATAQUE EN EMPRESAS: ¿SOMOS CONSCIENTES DEL PELIGRO QUE CORREMOS?

IMPORTANCIA DE LOS SISTEMAS DE SEGURIDAD EN TÉRMINOS DE INVERSIÓN PARA LAS GRANDES EMPRESAS

Por contra, los pequeños empresarios invierten poco en ello.  Y es un error. Ninguna empresa, independientemente de su tamaño, está exenta de ser objetivo de un ataque informático. En el mundo hay más de 10.000 millones de dispositivos conectados a Internet y cualquiera de ellos puede ser hackeado.

En la era digital hay que tener claro que estamos sometidos a unos riesgos cada vez que navegamos por la red. De hecho, en España el 32% de las empresas admite haber sido víctima de ciberataques en el último año. El hackeo a CEDRO (Centro Español de Derechos Reprográficos), por ejemplo, fue muy sonado. Lo hicieron el Día Mundial de la Propiedad Intelectual.