6 preguntas de ciberseguridad que toda empresa debería hacerse antes de terminar el año
El cierre de año suele concentrar múltiples tareas: presupuestos, planificación, evaluación de resultados y definición de prioridades para los próximos meses. Sin embargo, también es un buen momento para revisar un aspecto que muchas veces queda relegado frente a las urgencias del negocio: la ciberseguridad.
No se trata únicamente de saber qué soluciones tecnológicas tiene implementadas una organización. Una revisión efectiva debe considerar si esas herramientas están correctamente configuradas, si los controles siguen siendo suficientes, si los respaldos realmente permiten recuperar información y, sobre todo, si la empresa sabe cómo responder frente a un incidente.
Antes de comenzar un nuevo año, estas seis preguntas pueden ayudar a detectar brechas que todavía estás a tiempo de corregir.
1. ¿Tenemos todos los equipos protegidos?
En una empresa, no todos los dispositivos tienen necesariamente el mismo nivel de protección. Computadores corporativos, notebooks utilizados de manera remota, servidores, dispositivos móviles y otros equipos pueden convertirse en puntos de entrada para una amenaza.
El problema aparece cuando la organización protege solo aquellos activos que considera críticos y deja fuera equipos secundarios, dispositivos antiguos o aquellos que se incorporaron posteriormente a la operación.
Por eso, una primera revisión debería comenzar por conocer exactamente qué dispositivos están conectados a la infraestructura de la empresa y qué medidas de seguridad tiene cada uno.
También es importante verificar que los sistemas operativos y aplicaciones estén actualizados, que las soluciones de protección funcionen correctamente y que no existan equipos que estén operando con configuraciones obsoletas o sin supervisión.
La protección de los dispositivos no debería depender de que sean considerados “importantes”. Un equipo aparentemente secundario puede convertirse en el punto de entrada para comprometer información, credenciales o sistemas de mayor valor.
Antes de cerrar el año, conviene preguntarse: ¿sabemos realmente cuántos dispositivos tenemos, cuáles están protegidos y cuáles necesitan atención?
2. ¿Estamos preparados para la nueva Ley de Protección de Datos?
La protección de la información personal dejó de ser únicamente un asunto tecnológico. Para las organizaciones, también implica procesos, responsabilidades, gestión de información y cumplimiento normativo.
La entrada en vigencia de la Ley 21.719 en Chile representa un cambio relevante en materia de protección de datos personales y eleva las exigencias que deberán considerar las organizaciones respecto de cómo recopilan, utilizan, almacenan y protegen esta información.
Por eso, esperar hasta el último momento para comenzar a revisar estos aspectos puede convertirse en un problema.
Una empresa debería saber qué datos personales posee, de dónde provienen, para qué los utiliza, quién puede acceder a ellos, cuánto tiempo los conserva y qué procedimientos existen para gestionarlos. También es necesario identificar brechas entre las prácticas actuales y las nuevas obligaciones que deberá cumplir la organización.
La discusión sobre los plazos de implementación no debería convertirse en una razón para detener estos procesos. Por el contrario, cualquier tiempo adicional puede aprovecharse para ordenar la información, documentar procedimientos, revisar controles y detectar puntos débiles.
La pregunta clave no es solamente cuándo entra en vigencia la normativa, sino cuánto trabajo de preparación tiene pendiente nuestra organización.
3. ¿Tenemos MFA en las cuentas críticas?
Una contraseña comprometida puede ser suficiente para que un atacante consiga acceso a una cuenta. Por eso, depender exclusivamente de una clave ya no es una estrategia adecuada para proteger los accesos más importantes.
La autenticación multifactor, o MFA, agrega una segunda capa de verificación que dificulta que una credencial robada pueda utilizarse directamente para ingresar a un sistema.
Sin embargo, implementar MFA no debería limitarse a marcar una opción dentro de una plataforma. Es necesario identificar cuáles son las cuentas que tienen mayores privilegios o acceso a información sensible y asegurarse de que cuenten con mecanismos de autenticación adecuados.
Entre ellas pueden encontrarse cuentas administrativas, servicios en la nube, correo corporativo, plataformas financieras, sistemas de gestión y otras aplicaciones que concentran información crítica para la operación.
También es recomendable revisar periódicamente los usuarios con privilegios elevados y eliminar accesos que ya no sean necesarios.
Antes de terminar el año, una pregunta sencilla puede revelar una brecha importante: si alguien obtiene la contraseña de una cuenta crítica, ¿qué otra barrera tendrá que superar para ingresar?
4. ¿Nuestros respaldos realmente funcionan?
Tener un sistema de backup no significa necesariamente estar preparado para recuperar la información.
Un respaldo puede existir y, aun así, presentar problemas al momento de necesitarlo: archivos incompletos, procesos que dejaron de ejecutarse, errores de configuración, credenciales que ya no funcionan o copias que no permiten recuperar los sistemas en los tiempos necesarios.
Además, los respaldos también pueden convertirse en objetivo de ataques. En incidentes de ransomware, por ejemplo, los atacantes pueden intentar acceder a las copias de seguridad para impedir que la organización pueda recuperar sus datos.
Por eso, una estrategia adecuada debe considerar no solo la existencia de copias, sino también su frecuencia, ubicación, protección, retención y capacidad real de restauración.
Una buena práctica consiste en realizar pruebas periódicas de recuperación. Solo así es posible comprobar que el backup disponible puede convertirse efectivamente en información recuperada cuando la operación lo necesita.
La pregunta que debería hacerse cada empresa es simple: si mañana perdiéramos nuestra información crítica, ¿podríamos recuperarla?
Si la respuesta genera dudas, el problema no está únicamente en el respaldo. Está en la estrategia de recuperación.
5. ¿Sabemos qué está pasando en nuestra red?
No puedes proteger aquello que no puedes identificar.
Las redes corporativas concentran una gran cantidad de actividad: dispositivos conectados, usuarios, aplicaciones, conexiones externas y transferencia de información. Sin una visibilidad adecuada, una actividad anómala puede pasar inadvertida durante demasiado tiempo.
Contar con mecanismos de monitoreo permite detectar comportamientos que se alejan de lo habitual y obtener información útil para investigar posibles incidentes.
Esto resulta especialmente importante cuando existen accesos remotos, servicios en la nube, múltiples sucursales o una infraestructura que ha crecido con el tiempo sin una revisión integral.
La pregunta tampoco debería limitarse a si existe una herramienta de monitoreo. Es necesario saber qué información está entregando, quién la revisa, qué alertas genera y qué procedimiento se sigue cuando aparece una actividad sospechosa.
Porque detectar una anomalía es solo el primer paso. La organización también necesita saber qué hacer después.
Antes de cerrar el año, conviene preguntarse: si ocurriera algo extraño dentro de nuestra red hoy, ¿nos enteraríamos a tiempo?
6. ¿Nuestros colaboradores están preparados para detectar phishing?
La tecnología puede bloquear muchas amenazas, pero ninguna estrategia de ciberseguridad está completa si las personas que utilizan los sistemas no saben reconocer señales de riesgo.
Los ataques de phishing siguen aprovechando situaciones cotidianas: correos que aparentan provenir de un proveedor, mensajes que solicitan información urgente, enlaces que imitan plataformas conocidas o archivos que parecen formar parte de una comunicación legítima.
Además, el uso de inteligencia artificial está facilitando la creación de mensajes cada vez más convincentes y personalizados. Esto significa que identificar una amenaza únicamente por errores evidentes de redacción o mensajes poco profesionales puede ser insuficiente.
La capacitación debe ir más allá de explicar qué es el phishing. Los colaboradores necesitan aprender a identificar comportamientos sospechosos, verificar solicitudes, reconocer intentos de suplantación y saber qué hacer cuando reciben un mensaje dudoso.
También es importante construir una cultura en la que reportar un posible incidente sea más importante que ocultarlo por miedo a haber cometido un error.
La pregunta final es fundamental: si hoy llegara un correo malicioso a la bandeja de entrada de un colaborador, ¿sabría identificarlo y reportarlo antes de interactuar con él?
Una revisión de fin de año puede evitar problemas durante el próximo
Estas seis preguntas no constituyen una auditoría completa de ciberseguridad, pero sí pueden funcionar como un punto de partida para detectar brechas que muchas veces permanecen ocultas hasta que ocurre un incidente.
Proteger los equipos, prepararse para las nuevas exigencias de protección de datos, fortalecer los accesos, comprobar los respaldos, monitorear la infraestructura y capacitar a los colaboradores son medidas que deberían formar parte de una estrategia continua, no de una reacción frente a un ataque.
El cierre de año es una buena oportunidad para revisar qué está funcionando, qué necesita mejoras y qué riesgos no deberían trasladarse al próximo periodo.
Porque en ciberseguridad, saber que existe una brecha es importante. Detectarla antes de que un atacante la encuentre es mucho mejor.
¿Quieres evaluar el nivel de protección de tu organización y detectar oportunidades de mejora? En Lockbits podemos ayudarte a revisar tu estrategia de ciberseguridad y definir las medidas necesarias para proteger tu operación y tu información.
¿Quieres preparar tu organización para la nueva Ley de Protección de Datos Personales? Contáctanos en lockbits.cl/contacto/