Las pequeñas y medianas empresas (PYMES) conforman una buena parte del tejido industrial y empresarial español y son objeto de todo tipo de incidentes, como ransomware o ataques a sus cadenas de suministro. Algunos de estos ataques producen un efecto cascada que repercute en todo el ecosistema, pudiendo afectar a otras entidades a las que prestan sus servicios o a las que suministran sus productos.
Las PYMES son especialmente vulnerables, pues para ellas no siempre es fácil adaptarse con ciberseguridad a los nuevos desafíos tecnológicos a los que se enfrentan, como adoptar modelos de negocio en entornos digitales hiperconectados, ofrecer sus servicios o productos en línea o permitir que sus empleados trabajen desde casa. En general, afrontan estos retos con recursos limitados y, en ocasiones, con desconocimiento de las amenazas que conllevan.
Directiva NIS2 y su Impacto en las PYMES
La Unión Europea, consciente del papel fundamental que tienen en la economía, ha tenido en cuenta en la Directiva NIS2 a las medianas empresas de sectores críticos, como entidades dentro de su alcance, así como determinadas pequeñas y microempresas que pongan de manifiesto su papel clave para la sociedad o la economía.
En concreto, el alcance de la Directiva NIS2 en cuanto a PYMES incluye:
- Medianas empresas de los sectores privados indicados en los anexos I y II de la directiva: energía; transporte; banca; infraestructuras de mercados financieros; sector sanitario; agua potable; aguas residuales; infraestructura digital, en particular proveedores de redes de comunicaciones electrónicas públicas; gestión de servicios TIC; espacio; servicios postales y de mensajería; gestión de residuos; fabricación, producción y distribución de sustancias y mezclas químicas; producción, transformación y distribución de alimentos; proveedores de servicios digitales; investigación, y fabricación de productos sanitarios, informáticos, electrónicos y ópticos, material eléctrico, maquinaria, vehículos de motor y material de transporte.
- Pequeñas y microempresas claves que los Estados determinen de esos sectores. En particular: proveedores de confianza cualificados, proveedores DNS, registros de nombres de dominio de primer nivel y entidades que proveen de servicios de registro de nombres de dominio.
- Indirectamente a PYMES de cadena de suministro, es decir, que ofrezcan servicios, sistemas o productos a entidades públicas y privadas en el ámbito de la NIS2. Por ejemplo: proveedores de servicios de almacenamiento y tratamiento de datos o los proveedores de servicios de seguridad gestionados y desarrolladores de software.
Si bien las medidas para la gestión de los ciberriesgos que han de implantar las entidades afectadas por la NIS2 afectan a todas por igual, la directiva apunta como uno de los criterios de proporcionalidad en su aplicación el tamaño de las mismas. Además, han de adoptar una serie de prácticas básicas que afectan a sus entornos tecnológicos, su organización y su personal.
Lea también: Cómo analizar a tu competencia online
Herramientas de INCIBE para la Evaluación de Ciberseguridad
Para ayudar a las empresas a evaluar su estado de ciberseguridad y a avanzar hacia mayores niveles de protección INCIBE pone a su disposición una herramienta de autodiagnóstico especialmente diseñada para este fin. A través de una serie de preguntas se guiará al usuario para que determine su estado en seguridad de la información, qué riesgos amenazan el funcionamiento de la empresa y qué aspectos debe mejorar. Todo ello, para empezar a medir.
El cibercrimen, el fraude y el robo de datos son una realidad. Los ciberdelincuentes cada vez están más organizados y especializados. Los daños de un incidente de seguridad, tanto económicos como de imagen, pueden dejarnos muy mal parados. Dicen que hay dos tipos de empresas: las que han sido objeto de algún ataque o incidente, y las que van a serlo. Y sí, las pymes tampoco están a salvo.
A estas alturas resulta difícil, por no decir imposible, pensar que una empresa no cuente con ninguna medida preventiva que tenga que ver con la ciberseguridad o que esté relacionada con la protección de la información, principal activo de cualquier organización. Tienes que ser consciente de que únicamente si conoces tu nivel de seguridad actual podrás poner en marcha las medidas necesarias para garantizar la seguridad, tanto de tus procesos como de tu información.
No debemos olvidar que el malware, el fraude o el robo de información están cada vez más presentes en pequeñas y medianas empresas ya que los ciberdelincuentes están cada vez más organizados y especializados. De esta forma, a través de la herramienta de autodiagnóstico, en tan solo cinco minutos, podrás evaluar la madurez de tu empresa en cuanto a ciberseguridad se refiere, determinando a qué riesgos está expuesta y cuáles podrían ser las consecuencias de ser víctimas de un incidente. Para ello sólo tienes que responder a unas sencillas preguntas.
Recuerda que no sirve de nada permanecer inmóvil ante las amenazas cada vez más presentes en el mundo digital y tecnológico, ni cobijarse bajo el amparo del «eso a mí no me pasa». INCIBE pone a disposición de empresarios y empleados de PYMES así como de colectivos específicos, asociaciones y colegios profesionales, herramientas de ciberseguridad enfocadas a la prevención, detección y respuesta a incidentes de ciberseguridad.
Lea también: Herramientas de Análisis Interno
Dentro de las herramientas de ciberseguridad que se ofrecen actualmente se encuentran:
- Análisis de riesgos en 5 minutos: Herramienta interactiva que guía al empresario a conocer el nivel de riesgo de su empresa en cinco minutos a través de una revisión de sus activos principales activos.
- Catálogo ciberseguridad: Recoge a empresas proveedoras de soluciones de ciberseguridad, así como sus productos y servicios, del mercado español.
El Proceso de Análisis de Riesgos
Sin duda alguna, si queremos «empezar por el principio» en materia de ciberseguridad en nuestra empresa, el análisis de riesgos es uno de los trabajos más importantes a la hora de definir proyectos e iniciativas para la mejora de la seguridad de la información. El Plan Director de Seguridad (PDS) se puede simplificar como la definición y priorización de un conjunto de proyectos en materia de seguridad de la información, dirigido a reducir los riesgos a los que está expuesta la organización hasta unos niveles aceptables a partir de un análisis de la situación inicial.
Llevar a cabo un buen análisis nos permitirá centrar nuestro foco de atención en los riesgos asociados a los sistemas, procesos y elementos dentro del alcance del PDS. De esta forma mitigaremos la posibilidad de tener algún tipo de incidente de ciberseguridad. A continuación veremos de forma sencilla las principales tareas del análisis de riesgos, aportando recomendaciones prácticas sobre cómo llevarlo a cabo, y considerando algunas particularidades a tener en cuenta para que aporte el máximo valor al PDS.
Cabe señalar que las fases o etapas que componen un análisis de riesgos dependen de la metodología escogida. Las fases más comunes son:
- Definir el alcance: en esta primera fase, se concretará el ámbito del análisis en el que se definirán las áreas o departamentos de la empresa que van a ser analizados (también activos, como redes, sistemas, datos, aplicaciones, etc.). El objetivo es tener claro el estudio que se va a realizar y usar los recursos empresariales de manera eficiente, teniendo en cuenta las áreas críticas de la empresa que requieren mayor protección.
- Identificación de los activos: en esta fase, se elaborará un registro o una lista de los elementos definidos anteriormente para saber que se tiene que proteger. Por ejemplo, los sistemas, los datos, la red...
- Identificación de las amenazas: se hace énfasis en los peligros o amenazas que, a nivel general (ataques de ransomware, brechas de datos, phishing, errores humanos, etc.), podrían tener los activos analizados, ya sean daños por cambios ambientales, por daños físicos…
- Identificación de vulnerabilidades y salvaguardas: se identifican las debilidades y medidas de protección que pueden tener los recursos identificados como, por ejemplo, sistemas desactualizados, faltas de mantenimiento, controles de acceso... Esta fase esta más centrada en las características de los activos y cómo estas los hacen más o menos vulnerables o protegidos ante las amenazas encontradas.
- Análisis de riesgos: con toda la información anterior, en esta fase se evalúan y calculan los riesgos. Dependiendo del grado del riesgo puede afectar en mayor o menor medida a la empresa. Todo ello, se realiza teniendo en cuenta las salvaguardas y la probabilidad de que ocurra una amenaza y cómo afectaría a ese activo.
- Gestión del riesgo: en esta fase, se toman decisiones para gestionar los riesgos analizados (aplicación de parches, segmentación de red, formación de empleados, etc.) con el objetivo de reducir el impacto en caso de ataque o la probabilidad de que los riesgos superan los niveles marcados por la empresa.
Realizar este análisis de manera periódica permite a las organizaciones adaptarse a nuevas amenazas y reforzar su seguridad digital.
Lea también: Técnicas de Análisis Cualitativo
Oportunidades Profesionales en el Análisis de Riesgos
Para aquellos que están comenzando su carrera en el mundo de la ciberseguridad, o se están planteando hacerlo, la especialización en análisis de riesgos puede abrir muchas puertas. Las organizaciones necesitan empleados que sepan identificar y gestionar riesgos para proteger sus activos. Las habilidades desarrolladas con esta formación pueden contribuir de forma significativa a la estrategia de seguridad de cualquier empresa. Por eso, estos profesionales están altamente demandados y pueden desempeñar diversos roles, entre ellos:
- Analista de riesgos: se encarga de evaluar los riesgos potenciales que pueden afectar a una empresa, no solo en términos de ciberseguridad, sino en todos los aspectos operativos. Su función principal es identificar y evaluar los riesgos, además de desarrollar las estrategias de mitigación y monitoreo continuo.
- Consultor de ciberseguridad: su función es asesorar a las empresas en la implementación de estrategias de seguridad, incluyendo la gestión de riesgos cibernéticos. Para ello, puede realizar evaluaciones de riesgos y diseñar políticas de seguridad e implementar controles que los mitiguen.
- Auditor de ciberseguridad: es el encargado de revisar y avaluar los sistemas de seguridad de las empresas para garantizar que se cumpla con las normativas y regulaciones aplicables. Durante las auditorías de seguridad puede identificar vulnerabilidades y recomendar puntos de mejora.
La formación en análisis de riesgos puede ser un complemento muy interesante en la carrera profesional de la ciberseguridad, abriendo puertas a una amplia gama de roles en diferentes sectores. Estos profesionales son cada vez más importantes para las empresas, que necesitan protegerse de diferentes amenazas.