Ciberseguridade para unha peme:
por onde empezar

Si, precisamente por ser pequena. Os ataques que chegan a unha peme non van dirixidos a ela: son campañas masivas de correos con facturas falsas, avisos do banco ou contrasinais roubados noutra web, que proban sorte con miles de empresas á vez. Entra quen ten a porta peor pechada, e as pemes teñen as portas peor pechadas porque non hai ninguén encargado. O atacante non sabe quen es nin lle importa: sabe que unha empresa de oito persoas sen copias pagará antes ca unha grande con departamento de seguridade. Os avisos do INCIBE e os informes anuais do sector repíteno cada ano: a maioría dos incidentes en empresas españolas son en pemes, e a maioría empeza por un correo.

Un antivirus detén na máquina o que recoñece, e é necesario, pero non cobre o que máis entra. Non evita que alguén escriba o seu contrasinal nunha web falsa do banco, nin que se pague unha factura co número de conta cambiado, nin que un Windows sen actualizar teña un burato coñecido, nin que as copias estean no mesmo disco que o ransomware cifra. Os sete puntos desta guía son o que o antivirus non fai. O que si convén é que o antivirus estea xestionado: que alguén vexa desde fóra se está activo en todos os equipos e que detectou, en vez de confiar en que cada un mire a súa icona.

Menos do que custa un só incidente. As copias probadas, as actualizacións, o dobre factor e a revisión de contas son sobre todo traballo, non compras: un xestor de contrasinais e unha copia na nube para unha empresa pequena custan uns euros por usuario ao mes. O que si é un investimento é a devasa de empresa e, se hai servidor, un SAI. O que máis custa é o tempo de facelo e de mantelo, e por iso nas pemes adoita ir dentro dun contrato de mantemento, cun técnico que o revisa cada mes. No noso caso, o plan Esencial con copias xestionadas, antivirus e actualizacións parte de 49 € ao mes, e o Xestionado con técnico asignado e monitorización, de 99 €; que debe incluír un contrato de mantemento explica que pedir en calquera caso.

Dalas de baixa o mesmo día que se vai a persoa, e revisar cada poucos meses que non queda ningunha aberta. É un dos fallos máis comúns e máis doados de evitar: un exempregado co correo activo, o acceso ao programa de xestión ou o contrasinal da wifi que nunca se cambiou. Non fai falta pensar mal de ninguén; abonda con que o seu contrasinal, que quizais repetía noutras webs, apareza nunha filtración. O mesmo vale para provedores e técnicos externos que tiveron acceso para algo concreto. Unha lista de quen ten acceso a que, revisada cada trimestre, é a ferramenta; custa unha hora.

Varias que xa se aplican a calquera empresa, e unha que pode chegar. O RXPD obriga a protexer os datos persoais con medidas axeitadas e a notificar á AEPD unha brecha de seguridade en 72 horas; unha peme con datos de clientes xa está dentro, e na checklist RXPD para despachos e clínicas detallámolo. A directiva europea NIS2, que España está a trasladar á súa lei, afecta a empresas medianas e grandes de sectores concretos, non á peme típica, pero si a algúns dos seus clientes, que empezan a esixir aos seus provedores medidas por contrato. E se manexas datos de saúde ou traballas para a administración, hai requisitos propios. O que esta guía propón cobre o razoable para calquera peme; o que engada o teu sector, co teu asesor.

Depende de que. Se é un correo no que alguén picou e deu un contrasinal, en que facer se xa picaches está a orde das primeiras dúas horas: cambiar accesos, avisar o banco se cómpre, denunciar. Se os ficheiros aparecen cifrados ou cunha nota pedindo diñeiro, en ransomware: as primeiras horas está que facer e que non: illar, non apagar, non pagar, avisar. Nos dous casos, o teléfono gratuíto 017 do INCIBE atende empresas e particulares e orienta sobre os pasos e a denuncia. E despois do incidente, esta lista de sete puntos é xusto o que hai que revisar, porque algo dela faltaba.