Introducción

La transformación digital ha ganado popularidad en los últimos años y ahora es una palabra de moda para los líderes empresariales de casi todos los sectores. Las mejoras en la experiencia del usuario, la agilidad, la comodidad y la reducción de costes la hacen especialmente atractiva para las pequeñas y medianas empresas. Las pymes se están abriendo a la transformación digital para mejorar su negocio y evitar una transición más masiva a medida que crecen sus propias estructuras.

La transformación digital supone un delicado equilibrio entre la mejora de los procesos y el aumento de los riesgos. Las pymes están especialmente expuestas a las filtraciones de datos durante su transformación digital si no aumentan su seguridad al mismo tiempo. Los servicios de seguridad gestionados ofrecen la oportunidad de proteger la información confidencial con soluciones de alto nivel suministradas desde la nube con total protección.

El primer paso para ofrecer una seguridad integral es detectar los puntos débiles inherentes a los métodos de seguridad tradicionales para abordar la transformación digital prevista. Una vez identificados los posibles problemas, el siguiente paso es encontrar las mejores herramientas que proporcionen el nivel óptimo de protección. Con un nivel adecuado de protección se reducirá en gran medida la vulnerabilidad, siempre teniendo en cuenta el presupuesto y los procesos propios de una organización de pequeño tamaño. Aquí abordamos los riesgos actuales en la transformación digital que convierten a las pymes en presas fáciles para los hackers, así como los tres pasos básicos que siguen los servicios de seguridad gestionados para mitigarlos. Con un nivel adecuado de seguridad y supervisión proactivas se evitará que los clientes gasten más de la cuenta en seguridad y les ahorrará el dineral que supone una filtración de datos. En concreto, trataremos los siguientes temas:

• Por qué la transformación digital convierte a las pymes en un objetivo atractivo para los ciberdelincuentes
• Las principales vulnerabilidades que acarrea la ampliación de sistemas tecnológicos
• Cómo proteger los datos de sus clientes, así como sus dispositivos y su plantilla

Por qué la transformación digital deja más vulnerables a las empresas

Cada año, más y más empresas destinan sus recursos y gran parte de su presupuesto a la transformación digital. Sin embargo, a menudo no logran el impacto esperado; los estudios muestran que en el 70 % de las transformaciones digitales no se alcanzan los objetivos previstos.

Aunque en algunos artículos se apunta a cuestiones organizativas o a la mentalidad de los trabajadores como causa de este fracaso, las propias empresas señalan a la seguridad como origen de muchos de sus males. En un estudio en el que participaron más de 270 empresas, los directivos identificaron ciertos problemas de seguridad como principal obstáculo para lograr una plena transformación digital. Sin embargo, solo el 34 % de estas organizaciones declararon haber tenido en cuenta las cuestiones de ciberseguridad durante la fase de desarrollo. Las organizaciones que no abordan la seguridad durante su transformación digital corren el riesgo de que todo el plan se vea comprometido antes de alcanzar los objetivos previstos.

Los ciberdelincuentes tienden a atacar a las pymes porque suelen tener normas de seguridad menos estrictas y menos presupuesto para proteger sus datos que las grandes empresas. Son capaces de atacar a muchas pequeñas empresas a la vez para hacerse con una cantidad de datos que a menudo les supone una ganancia similar a la de atacar a una sola gran empresa. A pesar de que las pymes recurren a la transformación digital para ser más rentables, este proceso puede resultarles muy costoso si sufren una filtración de datos. Según el informe de IBM «Coste de una filtración de datos», en Estados Unidos el coste medio era de 8,19 millones de dólares. Ese informe también reveló que las pymes acaban pagando más de media que las grandes empresas: las organizaciones de entre 500 y 1000 empleados pagaron 3533 dólares por trabajador por una filtración de datos, frente a los 204 dólares de las grandes empresas con más de 25 000 trabajadores.¹

Las pymes en plena transformación digital son especialmente vulnerables a los ataques porque su seguridad no siempre se corresponde con su expansión tecnológica. Además, los ataques son cada vez más sofisticados, y es posible que estas empresas no estén preparadas para defenderse de ellos. Suelen sufrir ataques de ransomware, phishing, denegación de servicio distribuido e ingeniería social. La evolución de los ataques y sus consecuencias financieras deberían ser motivo de alarma para cualquier pyme.

Riesgos de la transformación digital

El término «transformación digital» ha sido denostado por expertos y líderes tecnológicos porque es un concepto demasiado vago que abarca una amplia gama de tecnologías. En este informe hablaremos de las tecnologías más extendidas que las pymes suelen adoptar en su transformación digital.

Aspectos comunes en la transformación digital de las pymes:

IoT

El Internet de las cosas aporta importantes ventajas a las pymes. La capacidad de los sensores para realizar tareas, analizar y comunicarse sin intervención humana ofrece a las empresas formas de crear valor para sus clientes. Sin embargo, muchos de estos dispositivos no están diseñados pensando en la seguridad y dejan a las organizaciones expuestas a posibles filtraciones de datos.

La capacidad del IoT para conectar dispositivos de bajo y alto riesgo puede causar importantes problemas de ciberseguridad a las empresas que no se hayan preparado para estas eventualidades. Lo que antes era un elemento de bajo riesgo en su sistema ahora puede estar vinculado a datos confidenciales. Los hackers solo necesitan encontrar un punto de entrada para acceder a todo.

Según el Instituto Nacional de Estándares y Tecnología² de EE. UU., los tres mayores problemas para la seguridad del IoT son:

• Los dispositivos IoT interactúan entre sí para realizar cambios en los sistemas físicos de maneras que la tecnología tradicional no permite.
• No se puede acceder al IoT ni controlarlo del mismo modo que la tecnología tradicional.
• La disponibilidad, la eficiencia y la eficacia de la ciberseguridad son diferentes para el IoT que para la tecnología tradicional.

Puesto que el IoT no funciona igual que los dispositivos informáticos habituales, requiere un enfoque de ciberseguridad distinto. A menos que las pymes adapten su seguridad a esta nueva tecnología, pueden verse expuestas a filtraciones de datos.

Uso de dispositivos personales

En un intento por reducir los gastos y mejorar la satisfacción de los trabajadores, las políticas de Bring Your Own Devices (BYOD) (o traiga sus propios dispositivos) son cada vez más habituales entre las pymes. Estas prácticas permiten a los empleados trabajar desde dispositivos personales como smartphones, tabletas u ordenadores portátiles.

Las empresas que no hayan establecido una política oficial al respecto pueden encontrarse con que sus trabajadores también pueden estar usando este tipo de dispositivos personales. Con la proliferación de dispositivos conectados a Internet, es raro encontrar trabajadores que no lleven el móvil a su puesto de trabajo. Si bien los teléfonos que solo se utilizan por motivos personales no suponen una amenaza para la seguridad, trabajar usando dispositivos personales puede comprometer la seguridad de toda la empresa.

Este tipo de prácticas deja a las organizaciones especialmente vulnerables a los ataques distribuidos de denegación de servicio (DDoS). El robo de datos es otro riesgo asociado a los dispositivos personales. Cuando un trabajador envía un archivo a través de una red poco segura, como la de una cafetería o un aeropuerto, está dejando expuesta información de la empresa. La infiltración de malware también es un problema. Los trabajadores pueden descargarse en su móvil un juego con malware oculto que afecte a los datos de la empresa.

Los antiguos empleados descontentos también pueden suponer un problema para la seguridad de la empresa. Pueden utilizar la información que conservan en sus dispositivos para perjudicar tanto a sus clientes como la reputación de la empresa.

Teletrabajo

Incluso antes de que el teletrabajo fuera obligatorio en algunos ámbitos, su popularidad estaba en auge. Hoy en día, esta modalidad de trabajo remoto se ha convertido en una necesidad. Las organizaciones que antes se resistían al teletrabajo se ven obligadas a desarrollar métodos que permitan a sus empleados trabajar desde casa.

Los empleados que no conocen las prácticas seguras del teletrabajo pueden dejar a la empresa expuesta a una filtración de datos. Compartir dispositivos con personas no autorizadas, acceder a la información a través de redes no seguras, como las redes Wi-Fi públicas, y los descuidos al abrir correos electrónicos también pueden comprometer la información confidencial y poner a su organización en peligro.

Aplicaciones en la nube

Las aplicaciones en la nube proporcionan a las pymes más acceso a sus datos. Les permite tomar decisiones basadas en datos y hacer visible información esencial para hacer crecer su negocio. Sin embargo, las empresas pueden ser vulnerables a los ataques si no toman las precauciones adecuadas.

Las aplicaciones en la nube exponen a las empresas a posibles secuestros de cuentas que permiten a los atacantes acceder a información confidencial utilizando credenciales robadas. Los grupos de amenazas persistentes avanzadas tienen como objetivo los entornos en la nube y utilizan los servicios de la nube pública para llevar a cabo sus ataques. Las API poco seguras también pueden ser un punto de entrada para los atacantes.

La pérdida de datos también puede suponer un problema importante para las pymes. Un accidente o una avería pueden suponer la pérdida irreversible de la información de los clientes si no se dispone de las copias de seguridad adecuadas. Google y Amazon son ejemplos de cómo incluso las empresas más avanzadas técnicamente pueden perder datos por no hacer copias de seguridad.

Cómo proteger su empresa ante la transformación digital

Un servicio de seguridad gestionado que comprenda las complejidades tanto de una transformación digital como de las pymes debería ser capaz de detectar posibles vulnerabilidades, proporcionar el nivel de seguridad necesario para adaptarse a cualquier cambio en la tecnología y seguir supervisando su organización.

Identifique las vulnerabilidades de su plan de transformación digital

La ciberseguridad comienza en cuanto se empieza a elaborar el plan de transformación digital. Debe formar parte del plan inicial considerado en cada paso del camino. Las pymes son un objetivo especialmente delicado porque su seguridad no siempre se corresponde con su crecimiento, lo que deja lagunas y vulnerabilidades. La transformación digital y la seguridad deben coordinarse para evitar este error potencialmente catastrófico.

IBM llevó a cabo un estudio sobre las transformaciones con más éxito y descubrió que las que hacían más hincapié en la seguridad acababan teniendo un resultado más satisfactorio.³ Estos «casos de éxito», como los describía el estudio, corrían menos riesgo de sufrir una filtración de datos durante el proceso.

En primer lugar, debe identificar qué transformaciones digitales espera lograr su organización. Tenga en cuenta cómo le gustaría expandirse en IoT, BYOD, teletrabajo o mediante más aplicaciones en la nube. Asegúrese de incluir los detalles de sus planes para ver dónde pueden estar las posibles vulnerabilidades.

Haga una lista de los dispositivos informáticos físicos y virtuales de la empresa. En la evaluación deben incluirse las estaciones de trabajo, los ordenadores portátiles, las impresoras, los dispositivos móviles, los servidores de aplicaciones de red, los cortafuegos corporativos y los servidores de archivos de red.

Determine el nivel de seguridad necesario

Una vez que entienda lo que quiere conseguir y las vulnerabilidades potenciales, podrá determinar qué nivel de seguridad es necesario. A continuación se indican los servicios de seguridad vitales para el éxito de la transformación digital.

Supervisión continua

Un grave error que cometen muchas pymes es gastar demasiado en prevención en detrimento de las capacidades de detección y respuesta. Aunque la prevención es un aspecto vital de la protección de datos confidenciales, los ataques evolucionan y pueden darse en cualquier momento. Cuanto más rápido pueda responder una empresa a un ataque, más fácil será contenerlo y reducir los daños que pueda causar.

Mantenga un perímetro de defensa seguro con supervisión y gestión remotas continuas. Llevar a cabo un mantenimiento de los nuevos parches y las actualizaciones del software, así como actualizar las medidas de seguridad en función de las nuevas amenazas, asegurará una protección continua contra los ciberdelincuentes.

IoT

Uso de dispositivos personales

Teletrabajo

Aplicaciones en la nube