Un incidente informático empieza a menudo por un detalle: una contraseña reutilizada, una actualización aplazada, un archivo adjunto abierto demasiado deprisa. La ciberseguridad de una pyme o de una administración no se basa, por tanto, en primer lugar en equipos costosos. Se basa en hábitos. He aquí diez, admitidos por todos los especialistas, que puede poner en marcha sin esperar.
Proteger los accesos
1. Contraseñas largas y únicas. Una frase de varias palabras se recuerda mejor y resiste mejor que una palabra corta. Una contraseña solo sirve para un único servicio. Un gestor de contraseñas evita anotarlas en una libreta o en un fichero.
2. La autenticación en dos pasos. Además de la contraseña, el servicio pide un código que aparece en el teléfono o una llave física. Actívela con prioridad en el correo electrónico, la banca en línea y las cuentas de administración.
3. Derechos de acceso ajustados a lo necesario. Cada uno accede a lo que necesita para trabajar, y no más. Las cuentas de administrador siguen siendo escasas, nominativas y reservadas a las tareas técnicas.
Mantener los equipos actualizados
4. Las actualizaciones, sin aplazarlas. Corrigen fallos conocidos. Esto vale para los ordenadores, los teléfonos y los programas, pero también para el router y las impresoras en red. Un inventario sencillo de sus equipos permite saber qué está actualizado y qué ha dejado de estarlo.
5. Normas para los dispositivos personales. Un teléfono o un ordenador personal utilizado para el trabajo transporta datos de la organización. Fije normas claras: bloqueo de la pantalla, actualizaciones, separación de las cuentas, aviso inmediato en caso de pérdida o de robo.
Prepararse para la avería y para el ataque
6. Copias de seguridad, y copias de seguridad probadas. Guarde varias copias de sus datos importantes, una de ellas fuera de sus locales y otra desconectada de la red. Una copia de seguridad que nunca se ha intentado restaurar sigue siendo una hipótesis: haga el ejercicio a intervalos regulares.
7. Un reflejo en caso de incidente. Cada uno debe saber a quién avisar, a qué número, y qué hacer mientras tanto: desconectar el puesto de la red, no borrar nada, anotar lo que ha ocurrido. Basta con una página colgada en las oficinas.
Formar y organizar a los equipos
8. Aprender a reconocer el phishing. Un mensaje de phishing imita a un interlocutor de confianza para obtener una contraseña, un pago o la apertura de un fichero. Algunas señales deben alertar.
- Una urgencia inusual, o una amenaza de bloqueo de la cuenta.
- Una dirección de remitente parecida a la dirección habitual, pero diferente.
- Una petición de contraseña, de código o de pago.
- Un archivo adjunto o un enlace que usted no esperaba.
En caso de duda, compruébelo por otro canal: llame a la persona a un número que ya conozca.
9. Preparar la salida de un colaborador. Una cuenta que se deja activa tras una salida es una puerta abierta. Mantenga una lista de comprobación.
- Desactivar las cuentas y retirar los accesos el día de la salida.
- Recuperar el material, las tarjetas de acceso y las llaves.
- Cambiar las contraseñas de las cuentas compartidas.
- Transferir los expedientes y el correo electrónico profesional a un responsable.
10. Nombrar a un responsable y hablar de ello con regularidad. La seguridad necesita un nombre: una persona que lleva el inventario, sigue las actualizaciones y recibe los avisos. Un recordatorio breve y regular a los equipos vale más que una larga formación olvidada al mes siguiente.
Por dónde empezar esta semana
Diez gestos de golpe es mucho. Tres de ellos protegen enseguida lo esencial.
- Active la autenticación en dos pasos en el correo electrónico de la dirección y de los servicios financieros.
- Compruebe que existe una copia de seguridad reciente e intente restaurar un fichero.
- Elabore la lista de las cuentas activas y, después, cierre las de las personas que se han marchado.
Una copia de seguridad que nunca se ha intentado restaurar sigue siendo una hipótesis.
Estos gestos reducen los riesgos. No los eliminan: ninguna organización está a salvo de un incidente. Por eso los gestos 6 y 7 cuentan tanto como los demás. Si su organización trata datos personales, nuestro artículo sobre la Ley 29-2019 presenta el marco congoleño.
Cuándo buscar acompañamiento
Estos hábitos no sustituyen una mirada externa. Para saber en qué punto se encuentra, MOKILIX AUDIT IT examina en 2 semanas la infraestructura, la red, la seguridad, las aplicaciones y la conformidad. Usted recibe un informe, una cartografía de su sistema de información, una matriz de riesgos y un plan de acción priorizado a 12 meses. El precio de entrada se anuncia desde 2 500 000 FCFA sin IVA.
Para las organizaciones más expuestas, MOKILIX SHIELD reúne cortafuegos, protección de los puestos, supervisión continua, plan de continuidad de la actividad y sensibilización de los equipos, desde 18 000 000 FCFA sin IVA, en un plazo de 6 a 10 semanas. La valoración económica precisa se establece tras un encuadre, cuyo precio se fija según el análisis de su necesidad.
