A pesar de que muchas compañías están haciendo recortes debido al actual clima financiero, la seguridad de TI es una área en la cual no deben hacerlo. La protección de la red y datos de una compañía es una parte clave para hacer negocios hoy en día.
El reto para muchos Pequeños y medianos negocios es encontrar un equilibrio entre la seguridad y los gastos. ¿Como justifica un administrador de TI la inversión en una herramienta de seguridad cuando el negocio está recortando gastos?.
El error humano es todavía probablemente la vulnerabilidad mas critica de seguridad de cara al almacenamiento. Con el cibercrimen y el robo de identidad que se espera incremente en el 2009, las PYMES necesitarán estar mas vigilantes en sus defensas contras los ataques dirigidos a la vulnerabilidad humana para caer engañados por el phishing y los ataques de ingeniería social.
Las PYMES no pueden darse el lujo de ignorar la seguridad. Aun si los presupuestos están apretados, el costo en general de un
ataque de seguridad,
pérdida de datos y el tiempo que se pierde sobrepasa el costo que una PYME necesita para asegurar sus datos y redes. O sea que la ganancia a corto plazo puede traducirse en pérdidas a largo plazo si la seguridad de un negocio pasa a ser victima de la recesión.
La implementación adecuada de seguridad puede ser alcanzada usando una mezcla de tecnología y mejores prácticas de seguridad y los siguientes 10 pasos pueden ayudar a una PYME a largo plazo para enfrentar los retos de seguridad en un clima financiero difícil:
1. Determine su vulnerabilidad
Haga una extensa
auditoria de todas las medidas de seguridad en su local, todo el equipo de hardware, programas y otros dispositivos y los privilegios y los permisos que se le dan a todos los empleados en la organización. De manera activa pruebe la seguridad de todos los elementos de almacenamiento y chequee los logs de la red y almacenaje y de los controles de seguridad tales como los cortafuegos, IDs y logs de acceso para ver si algo es descubierto y resaltado como un posible evento de seguridad. Los logs de los eventos son una importante fuente de seguridad de la información. Los análisis de los logs van mas allá de todo eso.
2. Monitoree actividad
Monitoree la actividad del usuario 24 x 7 x 365. Para un solo administrador, monitorear los log de los eventos y llevar a cabo auditorías es mucho trabajo pero es más realista monitorear los logs en los entornos de almacenamiento que la red completa. Los logs han probado ser una fuente de gran valor si un ataque de seguridad ocurre y se realiza una
investigación forense. Los análisis de los logs van mas allá de lo antes dicho y no sólo son una herramienta que se usa únicamente después de un evento, sino que permiten entender la forma en que sus recursos son usados para poder mejorar el manejo de los mismos.
3. Controle el acceso
El acceso a los datos sólo debe ser dado a aquellos que lo necesitan aun si esa persona es su primo o el hijo del jefe.
4. Salvaguarde su información
Salvaguarde toda la información del negocio. El uso incontrolado de los dispositivos portables, tales como pendrives y DVDs, ponen volúmenes considerables de datos en riesgo. Estos dispositivos son fáciles de perderse y pueden ser robados o extraviados fácilmente. Además en muchos casos, los datos que están en esos dispositivos no están protegidos mediante
encriptación.
5. Máximo control de la información
Habilite barreras tecnológicas que permitan un uso de los dispositivos de acuerdo a una clara y bien definida política. Estudios recientes muestran que la pérdida de datos por parte de empleados aumenta cuando las personas pierden su trabajo. Los dispositivos portátiles tales como pendrives o PDAs pueden incluir un gran volumen de datos. Monitorear y controlar su uso en la red es clave para reducir el riesgo de
pérdida de datos o actividad maliciosa por empleados descontentos. El uso de tales dispositivos debe ser restringido a aquellos que realmente los necesiten.
6. Politicas de manejo de datos
Implemente políticas de seguridad restrictivas relativas a cómo se accede, manipula y transfiere la información. La tecnología por sí sola no protegerá las informaciones de su compañía. Conciencie también a sus empleados.
7. Comunicación sencilla con los empleados
Explique el significado de cada política en un leguaje sencillo y claro de cómo cada una es implementada a traves de la organización.
8. Educación del empleado
A los empleados debe recordárseles que no deben dejar sus contraseñas escritas en un papelito en su monitor. Necesitan entender que compartir sus contraseñas es el equivalente de compartir sus llaves de casa. Necesita decirles que no deben divulgar ninguna información a terceros sin autentificar la solicitud. Ellos necesitan tener un entendimiento básico de la seguridad y de las amenazas más comunes, tales como phising e ingeniería social. Adicionalmente, se les debe recordar que sus acciones estan siendo monitoreadas.
9. Haga
copias de seguridad de todo
Haga copias de respaldo de todas la comunicaciones desde y hacia el negocio. Verifique sus copias de seguridad con regularidad para asegurarse de que si la red de la empresa está caída, usted pueda conseguir todo de nuevo en un corto periodo de tiempo.
10. Manejo de las personas
La seguridad de la información es algo más que proteger los datos usando tecnología o guardándolos bajo llave, es también un ejercicio de manejo de personas. Las personas que usan y crean los datos son el mayor riesgo y el eslabón mas débil.
Aun cuando se espera que el gasto en general en seguridad aumente, “hacer más con menos” será el lema para el 2009. Siguiendo estos consejos sencillos, las PYMES pueden atravezar este clima económico sin tener que comprometer su seguridad.
