Las PYMES necesitan equilibrar las necesidades y los recursos de ciberseguridad

Las PYMES necesitan equilibrar las necesidades y los recursos de ciberseguridad

Sello de tiempo: 26 de octubre de 2023 7:55 p.m.
Nodo de origen: 2957667

Las pequeñas y medianas empresas (PYMES) no son inmunes a los ciberataques, pero luchan con un panorama de amenazas en evolución y con saber cómo gestionar mejor el riesgo.

Durante la “Mesa redonda sobre ciberseguridad para PYMES: navegar por la complejidad y crear resiliencia” a principios de este mes, Sage reunió a un grupo de CISO y otros profesionales de ciberseguridad de pequeñas empresas, agencias gubernamentales y organizaciones sin fines de lucro para discutir algunas de las mayores preocupaciones que enfrentan las PYMES y sus capacidad de proteger los activos de su empresa. Entre los principales desafíos para las PYMES y las organizaciones sin fines de lucro se encuentran:

  • El factor humano. Los empleados siguen cometiendo errores, como hacer clic en enlaces en correos electrónicos de phishing o permitir el acceso sin protección a sus dispositivos, que ponen en riesgo las redes de la empresa.
  • Necesidades de cumplimiento de terceros. Las organizaciones asociadas, contratistas, proveedores y otras entidades de terceros exigen que las PYMES cumplan con sus requisitos de ciberseguridad, especialmente aquellas organizaciones, como las instituciones financieras, que están altamente reguladas.
  • Leyes de privacidad de datos en todos los estados y países. No cumplir con esos requisitos de cumplimiento podría resultar en sanciones y multas.
  • La fuerza laboral híbrida. Las PYMES ya no tienen los mismos niveles de supervisión de los dispositivos y comportamientos en línea cuando los empleados trabajan de forma remota, incluso parte del tiempo.
  • Plataformas e industrias específicas. Los actores de amenazas buscan organizaciones que utilicen aplicaciones diseñadas para recaudar dinero o recopilar grandes cantidades de información personal.
  • Panorama cambiante de amenazas. Cada día parecen surgir nuevos vectores de ataque, nuevo malware y nuevos actores de amenazas.

Casi la mitad de las PYMES han experimentado un incidente de ciberseguridad el año pasado, según un nuevo estudio de sabio. Si bien el 69% de los encuestados en todo el mundo dice que la ciberseguridad es parte de la cultura de su empresa, casi el mismo número no la considera hasta que ocurre un incidente: solo 4 de cada 10 encuestados dicen que su empresa habla regularmente sobre la ciberseguridad.

La ciberseguridad no tiene por qué ser cara

Después de un ataque, es demasiado tarde para iniciar discusiones sobre cómo proteger la red y la empresa, pero muchas PYMES no cuentan con los sistemas adecuados. Según la investigación de Sage, por ejemplo, el 46% de las PYMES no utilizan firewalls y el 19% depende únicamente de herramientas muy básicas.

Sí, la ciberseguridad puede resultar costosa. Empresas empresariales puede tener más de 100 herramientas de seguridad en uso. Sin embargo, no tiene por qué ser tan complicado para las PYMES, y algunos enfoques pueden incluso ser gratuitos o económicos.

Comience creando un programa de riesgo interno que supervisa las políticas de seguridad en toda la empresa con énfasis en el comportamiento de los empleados, recomendó Shawnee Delaney, directora ejecutiva de Vaillance Group, durante la mesa redonda.

"Requiere que tengas conversaciones, a veces una conversación incómoda, porque nadie quiere pensar que sus propios empleados puedan hacer algo malicioso", dijo Delaney. "Pero la verdad es que la gran mayoría [de los incidentes cibernéticos] no son intencionales".

La gestión de los ciclos de vida del empleo humano es vital para un sistema de ciberseguridad eficaz. Comienza durante el proceso de entrevista y contratación, asegurándose de tener a alguien que encaje bien culturalmente y esté dispuesto a reconocer cómo la ciberseguridad encaja en la estructura organizacional, agregó Delaney. Una vez que haya realizado una contratación, siga los procesos de incorporación que hagan hincapié en la higiene de seguridad básica, incluido el acceso con privilegios mínimos y según sea necesario. Y cuando el empleado se vaya, asegúrese de procesos de baja desconectar el acceso por completo.

Individualizar la formación en seguridad

Debido a la conexión humana con la ciberseguridad, todos en una empresa más pequeña, desde el director ejecutivo hacia abajo, deben tener un conocimiento básico de cómo son las amenazas. Existen muchas opciones de capacitación en concientización sobre seguridad, pero las PYMES harían bien en evitar una opción única para todos.

La formación debe ser dirigido a los trabajadores individuales basado en criterios como la función laboral y las brechas generacionales en conocimientos e intereses tecnológicos. Los trabajadores mayores a menudo tienen un estilo de aprendizaje diferente al de los empleados más jóvenes, del mismo modo que los empleados que trabajan en trabajos más intensivos en mano de obra pueden tener una relación diferente con la tecnología que aquellos que están conectados a sus dispositivos todo el día. No respetar esas diferencias da como resultado un entrenamiento desigual que podría terminar haciendo más daño que bien.

Haga de la ciberseguridad una cuestión empresarial

Según Gustavo Zeidan, CISO de Sage, existe una tendencia, especialmente entre las PYMES, a pensar en la ciberseguridad como un problema de TI cuyo conocimiento reside en el espacio tecnológico.

Un mejor enfoque es pensar en La ciberseguridad como cuestión empresarial.. La cultura de seguridad se impulsa mejor desde arriba, dijo Zeidan durante la mesa redonda, y la gerencia debe discutir las amenazas cibernéticas y cómo sus negocios pueden ser atacados.

"Los líderes empresariales reconocen que es un problema, pero no hablan de ello", explicó Zeidan. Lo peor que puede pasar es no estar preparado para un incidente de seguridad que interrumpa las operaciones comerciales.

Y cuando haya un ciberincidente dentro de la empresa, no lo mantengas oculto. La Comisión Federal de Comercio (FTC) ofrece orientaciones sobre a quién se debe contactar, incluidas las autoridades, los clientes y los proveedores.

Pero no te detengas ahí. Comuníquese con otras empresas y analice estrategias para solucionar el incidente. Comparta esta información a través de organizaciones centradas en la industria o en locales Cámara de Comercio reuniones: dondequiera que tenga contacto con otros líderes empresariales.

"Si tiene una infracción, sea abierto, honesto y comparta las lecciones aprendidas con otras empresas para que los profesionales puedan aprender de ello", dijo Delaney. “No importa si somos competidores. Todo es seguridad nacional cuando lo resumes”.

Sepa dónde acudir para obtener ayuda

Toda empresa, sin importar su tamaño, necesita más experiencia en ciberseguridad de la que tiene. Independientemente de cómo invierta la PYME en seguridad, la responsabilidad de la ciberseguridad debe repartirse en toda la empresa.

Hay recursos disponibles para ayudar a guiar a las PYMES en su viaje hacia la seguridad. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), por ejemplo, ofrece una Guía de ciberseguridad para PYMES que habla específicamente de los diferentes roles relacionados con la seguridad que desempeñan los individuos en un entorno de pequeñas empresas.

Las asociaciones con empresas de todos los tipos y tamaños son fundamentales para la misión de CISA, dijo la panelista de la mesa redonda Lauren Boas Hayes, asesora principal de tecnología e innovación de CISA.

“El panorama está cambiando; Hay nuevas amenazas todos los días”, añadió Delaney.

Los profesionales y las empresas pueden sentir que están jugando al topo con sus esfuerzos por frustrar estas nuevas amenazas, pero la buena noticia para las PYMES es que existen técnicas de mitigación. Es sólo cuestión de encontrar el programa que funcione mejor para cada empresa.

Sello de tiempo:

Mas de Lectura oscura