La ciberhigiene es un conjunto de prácticas habituales destinadas a garantizar el manejo seguro de los datos críticos y a proteger las redes. Es como la higiene personal, en la que se establece una rutina compuesta por pequeñas actividades concretas para prevenir o mitigar problemas de salud. Las prácticas de higiene cibernética incluyen el inventario de todos los dispositivos finales conectados a una red, la gestión de vulnerabilidades y la aplicación de parches al software y a las aplicaciones.
A medida que han aumentado los ciberataques en todo el mundo —lo que ha provocado interrupciones en las actividades empresariales y en las operaciones gubernamentales, y a menudo ha dado lugar a pagos masivos de rescates por ransomware y al deterioro de la reputación corporativa—, la ciberhigiene se ha convertido en un método clave para generar resiliencia operativa.
Considere las perturbaciones provocadas por la pandemia de la COVID-19, que generó oportunidades para los piratas informáticos a través de el phishing por correo electrónico, los ataques a la cadena de suministro y los ataques mediante contraseñas y malware que afectaron a los dispositivos de millones de trabajadores a distancia. Ya en el primer semestre de 2021, los ataques globales de ransomware han afectado a 304.7 millones de, superando el total del año pasado, que fue de 304.6 millones.
En respuesta a ello, la Casa Blanca ha instado a los líderes gubernamentales y empresariales a que se protejan aplicando las mejores prácticas básicas de higiene cibernética, señalando que es su responsabilidad fundamental protegerse frente a las amenazas y reforzar la resiliencia de nuestra nación frente a los ciberataques. Esto se debe a que la higiene cibernética es una de las formas más seguras de mejorar el nivel general de seguridad de cualquier organización y de protegerse frente a las amenazas, tanto en la actualidad como en el futuro.
¿Por qué es importante la higiene cibernética?
La ciberhigiene contribuye a evitar que los ciberdelincuentes penetren en la red de una organización —o, al menos, aumenta el coste de oportunidad, lo que dificulta tanto la tarea que el delincuente desiste y busca otra víctima—. Es cierto que muchos de los ataques actuales son cada vez más sofisticados: recurren a la ingeniería social para que la víctima revele información confidencial, se dirigen a los «grandes peces» (ejecutivos de alto nivel) o introducen malware en una cadena de suministro que, a su vez, puede infectar a cientos de personas más.
Lo cierto es que la mayoría de los ataques que tienen éxito son el resultado de descuidos rutinarios: no saber qué dispositivos finales se están conectando a su red, no supervisar ni aplicar de forma sistemática y rápida las actualizaciones de parches, no realizar las configuraciones de seguridad adecuadas y no identificar ni resolver rápidamente las brechas de seguridad antes de que puedan perjudicar las operaciones fundamentales de la empresa. Los ciberdelincuentes se aprovechan de estos errores.
No se puede culpar a los responsables de TI, administradores e ingenieros de seguridad que se muestran complacientes o desinformados. Más bien, los fallos son consecuencia de la complejidad y el dinamismo de los entornos informáticos modernos.
Una red empresarial típica incluye una gran variedad de ordenadores, servidores, bases de datos, máquinas virtuales, dispositivos móviles, sistemas operativos, aplicaciones y herramientas, cada uno de los cuales constituye un posible vector de ataque. Si no se lleva a cabo un mantenimiento regular y adecuado, esto puede dar lugar a la pérdida o extravío de datos, software sin parches, privilegios de usuario obsoletos y otros problemas. De este modo, un entorno se vuelve cada vez más vulnerable con el paso del tiempo y le deja expuesto a múltiples riesgos.
[Lea también: El seguro cibernético no es su mejor protección frente a los ciberataques]
La higiene cibernética contribuye a reducir esas vulnerabilidades mediante la identificación de riesgos y la implementación de mecanismos y estrategias para mitigarlos o resolverlos. Al aplicar medidas de ciberhigiene, las organizaciones refuerzan su nivel de seguridad y pueden defenderse con mayor eficacia frente a brechas de seguridad devastadoras.
¿Cómo evalúa su higiene cibernética?
La higiene cibernética se evalúa mediante una solución de supervisión del rendimiento que analiza su entorno informático para detectar sus distintos activos e identificar vulnerabilidades. Los resultados se presentan en forma de cuadro de mando que cuantifica el estado de su infraestructura informática. A las vulnerabilidades se les asigna un nivel de gravedad de «crítico», «alto», «medio» o «bajo» según el Sistema Común de Puntuación de Vulnerabilidades (CVSS), un estándar abierto del sector para clasificar las vulnerabilidades de seguridad de un sistema informático.
Estas vulnerabilidades se pueden clasificar según la importancia de los activos, de modo que pueda ver cuáles tendrán un mayor impacto en la empresa. Por ejemplo, una vulnerabilidad sin parchear en el ordenador portátil del director general requeriría una atención más inmediata que una en el del becario.
«La ciberhigiene ayuda a evitar que se produzca una intrusión en una red —o la dificulta tanto que el delincuente desiste y busca otras víctimas—.»
Las evaluaciones de ciberhigiene ayudan a superar dos de los mayores obstáculos para una seguridad eficaz: la visibilidad incompleta del entorno informático y la falta de recursos adecuados para responder a los problemas.
La evaluación de riesgos pone de manifiesto las vulnerabilidades más graves y las clasifica por orden de prioridad. Esto permite a los equipos de TI destinar sus recursos a subsanar primero las brechas de seguridad más críticas, antes de pasar a abordar los problemas de menor prioridad.
Las evaluaciones de higiene cibernética proporcionan una guía para mejorar su higiene cibernética y gestionar y proteger mejor su entorno informático. Si se realizan de forma continua, las evaluaciones de ciberhigiene le ayudan a comprender su nivel actual de vulnerabilidad en materia de seguridad y a determinar si está mejorando o empeorando.
¿Cuáles son las ventajas de la higiene cibernética?
Una buena higiene cibernética ofrece varias ventajas que, en última instancia, sitúan a su organización en una mejor posición para defenderse de los ciberataques. En concreto, le ayuda a:
- Identifique los activos no gestionados: No se puede proteger lo que no se ve. Por eso, disponer de un inventario preciso de todos sus activos es la base de una ciberseguridad sólida. Las buenas prácticas de higiene cibernética le permiten mantener actualizado un inventario de activos , identificar las vulnerabilidades asociadas a cualquier activo concreto y resolver rápidamente las brechas de seguridad.
- Proteja los datos de los clientes: La «higiene cibernética» respalda una serie de prácticas de seguridad contrastadas, como la gestión de parches, el uso responsable de las contraseñas, la concesión adecuada de privilegios de administrador y otras medidas que mejoran la protección de los datos.
- Identifique los privilegios de administrador obsoletos: Es fácil perder la pista de los derechos de administrador cuando los empleados cambian de puesto o de departamento, o cuando abandonan la empresa. Sin embargo, los controles administrativos de alto nivel suponen un riesgo de seguridad considerable, por lo que es importante auditar periódicamente quién dispone de privilegios administrativos y con qué frecuencia se utilizan. Los privilegios obsoletos o que se hayan olvidado hace tiempo deben actualizarse o revocarse de inmediato.
- Identifique el software no autorizado: El teletrabajo ha llevado a muchos trabajadores a instalar software no autorizado en los dispositivos y terminales que utilizan para conectarse a su red. Eso es un problema. Es muy probable que ese software no se haya configurado, parcheado, actualizado ni protegido adecuadamente, lo que lo convierte en un objetivo atractivo para los atacantes. La ciberhigiene ayuda a los administradores de TI a obtener una visión general de todo el software instalado y utilizado en su red, de modo que puedan gestionarlo o eliminarlo.
- Cumpla con los requisitos de cumplimiento normativo: Al identificar y priorizar los riesgos de seguridad, y al dotar a los equipos de TI de los medios necesarios para subsanarlos rápidamente, la ciberhigiene facilita el seguimiento y la presentación de informes sobre el estado de seguridad de su organización y garantiza que este se ajuste en todo momento a los requisitos normativos y de cumplimiento.
¿Cuáles son los riesgos de una mala higiene cibernética?
Las consecuencias de una mala higiene cibernética pueden propagarse por todo su entorno informático, lo que daría lugar a múltiples vulnerabilidades de seguridad y posibles vectores de ataque. Entre ellos se encuentran los siguientes:
- Pérdida de datos: Si no se realizan copias de seguridad ni se realiza un mantenimiento periódico de los discos duros locales y del almacenamiento en línea, se pueden perder datos importantes debido a fallos de hardware, corrupción de datos, un manejo inadecuado, ransomware o robo. Esto último conlleva un coste especialmente elevado: según el último informe del Ponemon Institute titulado « : Cost of a Data Breach Report» (: el coste de una filtración de datos), en 2020, el coste medio total de una filtración provocada por ransomware asciende a 4.44 millones de dólares. Y eso fue antes de los ataques informáticos a gran escala contra SolarWinds, Colonial Pipeline y muchas otras empresas.
- Datos extraviados: Los datos que no están organizados en un sistema de archivos adecuado corren el riesgo de extraviarse, y el problema se agrava exponencialmente a medida que la organización crece.
- Vulnerabilidades de software: Una gestión deficiente de los parches y el uso de software antiguo u obsoleto son causas habituales de violaciones de seguridad en organizaciones de todos los tamaños. Los desarrolladores de software publican periódicamente parches y actualizaciones para corregir las vulnerabilidades conocidas de sus productos; sin embargo, si una organización no cuenta con un proceso para aplicarlos de forma oportuna, los piratas informáticos podrían aprovechar estas aplicaciones para acceder a la red.
- Software malicioso: Cada día se registran más de 350,000 nuevos programas maliciosos . Si los programas antivirus y otros productos de seguridad no se actualizan periódicamente para adaptarse a este panorama en constante evolución, los piratas informáticos pueden utilizar diversos tipos de software malicioso para infiltrarse en la red de la empresa y lanzar ataques más específicos.
- Gestión inadecuada de los riesgos relacionados con los proveedores: En los entornos informáticos híbridos actuales, no basta con centrarse únicamente en su propia postura de seguridad. Debe tener en cuenta los posibles riesgos de seguridad que plantean los proveedores y prestadores de servicios externos de que tienen acceso a su red y tratan sus datos confidenciales. Si no comprende ni gestiona adecuadamente el nivel de riesgo que plantean sus proveedores, puede quedar aún más expuesto a interrupciones del servicio y a violaciones de la seguridad.
- Incumplimiento normativo: Los problemas derivados de una mala higiene cibernética pueden agravarse, lo que puede dar lugar a deficiencias en su cumplimiento de las normas PCI, DSS, HIPAA u otros marcos normativos.
- Violación de seguridad: La peor consecuencia de una mala higiene cibernética es que se produzca una violación de seguridad. Una gestión inadecuada de la configuración, una gestión deficiente de las vulnerabilidades y unas políticas de seguridad y unos procedimientos de respuesta ante amenazas poco sólidos pueden dejar a su organización expuesta al robo de datos, a la interrupción de la actividad empresarial y al pago de rescates por ransomware que pueden resultar extremadamente costosos. En última instancia, esto puede acarrear enormes costes económicos, un deterioro de la reputación y una pérdida de la fidelidad de los clientes.
¿Cuáles son las mejores prácticas en materia de higiene cibernética?
Para proteger y mantener sus sistemas y dispositivos informáticos, es importante aplicar las mejores prácticas de ciberhigiene. La siguiente lista no es exhaustiva, pero ofrece una base sólida sobre la que trabajar.
- Mantenga un inventario de activos informáticos: Cuando un atacante malintencionado se cuela en su red, buscará los activos más valiosos de su organización, del mismo modo que un ladrón que irrumpe en una vivienda busca dinero en efectivo y joyas. Por lo tanto, es fundamental mantener un inventario de activos en para saber qué bienes de valor posee y, de este modo, saber qué debe proteger. Para la mayoría de las organizaciones, cualquier elemento que se considere «crítico para el negocio» es, con toda probabilidad, un activo. En función de la empresa, entre ellos pueden figurar datos financieros corporativos, datos de clientes e información de pagos, patentes y derechos de autor, así como código fuente propio. Localice y clasifique todos los activos que su organización tiene en sus propias instalaciones o en la nube, dónde se almacenan y quién tiene acceso a ellos.
- Utilice contraseñas complejas: Las contraseñas complejas que se cambian con regularidad constituyen una sólida primera línea de defensa frente a una amplia gama de amenazas de seguridad. Las contraseñas de los usuarios habituales deben tener una longitud mínima de 10 caracteres (letras mayúsculas y minúsculas, números y caracteres especiales), mientras que las contraseñas de administrador deben tener una longitud mínima de 15 caracteres y deben compararse con los diccionarios existentes de contraseñas de uso común. La autenticación multifactorial, que exige al usuario identificarse mediante un segundo método de verificación, como una huella dactilar o un código numérico, añade una capa adicional de seguridad.
- Actualice el software con regularidad: Una gestión deficiente de los parches equivale, en esencia, a dejar la puerta abierta a los ciberdelincuentes. Es imprescindible aplicar los parches del sistema operativo y de las aplicaciones de forma regular y sin demora para reducir el riesgo de que el malware se cuele en su red. Un sistema sólido de gestión de parches constituye una de las mejores defensas frente a las filtraciones de datos y otros incidentes de seguridad.
- Control de los privilegios de administrador: Dado que los privilegios administrativos de alto nivel suponen uno de los mayores riesgos de seguridad en cualquier organización, es importante conceder acceso de nivel administrativo a programas y sistemas únicamente a quienes lo necesiten. Los usuarios estándar deberían tener unas capacidades más limitadas. No se les debería permitir instalar aplicaciones en sus ordenadores o dispositivos móviles sin permiso administrativo, por ejemplo.
- Realice copias de seguridad de los datos con regularidad: Los procedimientos de copia de seguridad deben llevarse a cabo con periodicidad y verificarse para confirmar su integridad. También es importante comprobar periódicamente el proceso de restauración para asegurarse de que funciona correctamente.
- Gestión de sistemas al final de su ciclo de vida: Los sistemas al final de su ciclo de vida son equipos informáticos y programas que ya no reciben parches de seguridad ni actualizaciones por parte de sus fabricantes o desarrolladores. Esto supone un gran riesgo para la organización y debe dejar de utilizarse de inmediato.
- Implemente un plan de respuesta ante incidentes: Las empresas de cualquier tamaño deberían contar con un plan de respuesta ante incidentes para mitigar los daños y minimizar el tiempo de inactividad derivado de un ataque. Un atacante puede comprometer un equipo y comenzar a desplazarse lateralmente por una red en tan solo unas horas, por lo que resulta esencial desarrollar un protocolo de respuesta rápida que reduzca el tiempo de permanencia del pirata informático y minimice la filtración de datos. Los equipos deben comprobar la eficacia del plan respondiendo periódicamente a incidentes simulados de filtración de datos y evaluando con qué eficacia y rapidez alcanzan sus objetivos de respuesta.
¿Cuáles son algunos ejemplos de buenas prácticas de seguridad cibernética?
Un ejemplo habitual de buenas prácticas de ciberseguridad sería actuar con cautela al enviar o recibir correos electrónicos. Debido a su uso generalizado en todas las organizaciones, el correo electrónico se ha convertido en un medio muy utilizado por los ciberdelincuentes para difundir malware entre usuarios desprevenidos. Una táctica habitual consiste en hacerse pasar por una persona o empresa que el destinatario conoce y engañarle para que haga clic en un enlace malicioso que le robe sus credenciales o descargue malware en su ordenador.
«. Las evaluaciones de higiene cibernética, realizadas de forma continua, le ayudan a comprender su exposición actual y a determinar si esta está mejorando o empeorando.»
Una organización que aplique buenas prácticas de ciberseguridad debería analizar todos los correos electrónicos entrantes en busca de virus y exigir la autenticación de dos factores para todos los inicios de sesión, de modo que cualquier credencial sustraída resulte inútil para el atacante. Además, habría formado a todos sus empleados para que se mantuvieran alerta ante correos electrónicos sospechosos que contuvieran enlaces y archivos adjuntos, enseñándoles a no hacer clic en ellos y a informar de dichos correos a un administrador de TI.
La creación de contraseñas de usuario constituye otra oportunidad para poner en práctica buenas prácticas de seguridad cibernética. En lugar de utilizar algo que se pueda adivinar fácilmente, como la fecha de nacimiento de un hijo, un empleado crearía una contraseña «segura» asegurándose de que tuviera entre 10 y 15 caracteres; utilizara una combinación de letras, números y caracteres especiales; y no incluyera el nombre de una persona, un personaje de ficción, un producto ni una palabra que figure en un diccionario o que pueda encontrarse en sus redes sociales (como Yankees).
¿En qué se diferencia la ciberhigiene empresarial de la ciberhigiene individual?
La ciberhigiene individual o personal tiene por objeto proteger a una persona frente a las amenazas de seguridad, mientras que la ciberhigiene empresarial mitiga los riesgos para una organización. Hay algunas prácticas que son comunes a ambos, como utilizar contraseñas complejas, utilizar programas antivirus, actuar con cautela al responder a correos electrónicos y realizar copias de seguridad de los datos. La ciberhigiene empresarial, sin embargo, se aplica a una escala mucho mayor y aborda una gama más amplia de cuestiones empresariales, como la protección de la infraestructura informática, el cumplimiento de los requisitos normativos y la gestión del riesgo asociado a los proveedores.
A pesar de estas diferencias, el objetivo tanto de la ciberhigiene personal como de la empresarial es proteger los sistemas informáticos y la integridad de los datos.
¿Cómo se elabora una buena política de higiene cibernética?
Cada organización cuenta con entornos informáticos y necesidades empresariales únicos, pero una política básica de ciberhigiene debería definir las responsabilidades específicas tanto de la organización como de cada uno de los empleados. A nivel organizativo, deben existir procedimientos normalizados que regulen ámbitos como el inventario y la gestión de activos informáticos, la seguridad física y de redes, la gestión de amenazas y vulnerabilidades, el cumplimiento normativo, la respuesta ante incidentes y la formación de los usuarios.
Por su parte, la organización debe asegurarse de que los empleados comprendan y sigan las buenas prácticas de ciberhigiene que ha establecido. Esto implica elaborar y dar a conocer políticas relativas a las actualizaciones de software, las copias de seguridad de datos, la seguridad de las contraseñas, el uso seguro de la red y el tratamiento de datos confidenciales. Asimismo, es importante que la organización imparta formación y sensibilización sobre el phishing para reducir el riesgo de amenazas de ingeniería social.
¿En qué consiste una lista de comprobación ideal de buenas prácticas de ciberseguridad?
Una lista de comprobación ideal sobre ciberhigiene se basa en las mejores prácticas descritas anteriormente e incluye las siguientes tareas:
- Crear y mantener un inventario de todo el hardware y el software de la red de la organización.
- Identifique cuáles son sus datos «más valiosos», dónde se encuentran y quién tiene acceso a ellos.
- Establezca y haga cumplir políticas de contraseñas seguras.
- Limite los privilegios de nivel administrativo a aquellas personas que los necesiten.
- Regule la forma en que los usuarios finales instalan software, ya sea limitando su acceso únicamente a programas de confianza o exigiendo la autorización del departamento de TI para cualquier instalación.
- Mantenga actualizados los sistemas operativos y las aplicaciones de software, y aplique los parches sin demora.
- Implemente un proceso para realizar, verificar y comprobar periódicamente las copias de seguridad de los datos. Conserve varias copias y realice copias de seguridad tanto en sus propias instalaciones como en la nube.
- Realice un seguimiento de los sistemas al final de su vida útil y retírelos del servicio.
- Elabore un plan de gestión de riesgos de proveedores en el que se describan las normas de conducta, los derechos de acceso y los niveles de servicio acordados.
- Forme a los empleados en buenas prácticas de ciberseguridad, incluyendo la gestión de contraseñas, la precaución con el correo electrónico y cómo utilizar la red de la organización de forma segura.
¿Cuáles son los retos que plantea la aplicación de buenas prácticas de ciberseguridad?
Uno de los mayores retos a la hora de aplicar buenas prácticas de ciberseguridad es, sencillamente, saber qué es lo que hay que proteger. Los entornos híbridos dinámicos actuales suelen ofrecer una visibilidad limitada, y no es posible proteger aquello de lo que no se tiene conocimiento.
Es imprescindible saber qué equipos y programas hay en su red y dónde se encuentran, así como dónde están almacenados sus datos más importantes y quién puede acceder a ellos. Una evaluación de la higiene cibernética puede ayudarle a analizar cada rincón de su red e identificar sus vulnerabilidades más críticas para que pueda subsanarlas.
Otro reto importante consiste, sencillamente, en mantener una buena higiene cibernética a largo plazo. Los ciberataques son una amenaza constante para muchas organizaciones, por lo que ya no basta con realizar análisis de la red de vez en cuando. La supervisión del rendimiento debe ser continua para detectar y solucionar las amenazas, y eso requiere recursos de los que muchas empresas carecen. Sin embargo, las soluciones de evaluación de la higiene cibernética pueden supervisar de forma continua las vulnerabilidades de su entorno, lo que le permite conocer su exposición a riesgos de seguridad en tiempo real.
¿Cuáles son las principales prioridades a la hora de aplicar medidas de higiene cibernética en la actualidad?
Dado que los incidentes de ransomware van en aumento y se han generalizado en todos los sectores, la principal prioridad a la hora de aplicar medidas de ciberhigiene hoy en día consiste en reducir las posibilidades de que una organización sea víctima de este tipo de ataque. De media, un ataque de ransomware provoca 23 días de inactividad, y se prevé que el ransomware suponga a las empresas un coste de 20 000 millones de dólares en 2021. Una buena higiene cibernética puede contribuir a mejorar la resiliencia de su organización frente a los ataques de ransomware, aumentar su visibilidad y control sobre su entorno, y agilizar la respuesta ante incidentes.
Más recursos
Ransomware 101: What Is It and How Do I Prevent an Attack?
¿Qué es la identificación y el inventario de activos?
¿En qué consiste la gestión de la privacidad de los datos?
¿En qué consiste la supervisión del rendimiento?
La proliferación de herramientas amenaza la seguridad pospandémica
