Ciberseguridad en la PYME

I. Introducción

La ciberseguridad es un elemento tendente a proteger los medios informáticos de la empresa. La seguridad del sistema debe contemplar los aspectos de prevención, detección y corrección, para conseguir que las amenazas sobre el mismo no se materialicen, no afecten gravemente a la información que maneja, o los servicios que se prestan.

Una violación de la seguridad de los datos personales es toda acción que conlleve:

• Destrucción de datos (borrado o inutilización).
• Daño en los datos por haber sido alterados, corrompidos o porque dejan de estar completos.
• Pérdida, esto es, que aunque los datos siguen existiendo, pero el responsable del tratamiento ha perdido el control o el acceso a ellos, o ya no obran en su poder.
• Tratamiento no autorizado o ilícito: acceso por personas no autorizadas o divulgarlos a personas no autorizadas.

Para disponer de los mejores estándares en cuanto a ciberseguridad, es conveniente implementar un sistema de gestión de seguridad de la información, como la ISO 27001 que nos permitirá disponer de un plan de riesgos, un plan de seguridad y un plan de contingencias que abarquen todos los posibles casos.

II. Fuga de información

La información que maneja la empresa solo debe ser accesible por las personas autorizadas dentro de la misma. Cuando se produce una fuga de información o fuga de datos, esa información es accesible a terceros no autorizados, esto es, se pierde el carácter confidencial de la información. Estas fugas pueden producirse de forma involuntaria o deliberadamente.

Para de evitar fugas de información, usted debe aplicar en su empresa las siguientes medidas de prevención:

1. Medidas organizativas:

-       definir una política de seguridad y procedimientos para todo el ciclo de vida de los datos;

-       establecer un sistema de clasificación de la información para ligarlo a roles y niveles de acceso;

-       llevar a cabo acciones de formación y concienciación en ciberseguridad;

-       implantar un sistema de gestión de seguridad de la información.

2. Medidas técnicas, para limitar el acceso no autorizado a la información:

-       implantar un sistema de control de acceso e identidad;

-       soluciones anti-malware y anti-fraude, seguridad perimetral y protección de las telecomunicaciones;

-       control de contenidos, monitorización de tráfico y copias de seguridad;

-       control de acceso a los recursos, actualizaciones de seguridad y parches;

-       implantar herramientas DLP (Data Loss Prevention).

3. Medidas legales:

-       establecer acuerdos de confidencialidad;

-       solicitud de aceptación de la política de seguridad y de la de conformidad por parte de los empleados;

-       medidas relativas a la adecuación y cumplimiento de la legislación aplicable (LOPD, LSSI, etc.);

-       cualquier otra medida de carácter disuasorio en base a la legislación vigente.