Internet es una herramienta de comunicación imprescindible para empresas y trabajadores. La ventana de conectividad que supone tiene sus riesgos en forma de ataque informático que puede suponer el robo de información, económico o el daño a dispositivos informáticos. Deben tomarse precauciones para minimizar este peligro y existe la posibilidad de contratar un ciberseguro.
El Instituto Nacional de Ciberseguridad expone el análisis de riesgos que deben tomar empresas y personas que trabajan en remoto para valorar las amenazas a las que están comprometidos en la red, en forma de virus, ransomware, phishing o ataque de negación de servicio, entre otros.
Saber gestionar los riesgos es un aspecto que ayuda en la prevención de cualquier ataque informático que se pueda producir por parte de ciberdelincuentes.
Previsión ante ataques informáticos
En términos de seguridad informática la previsión es uno de los detalles más importantes para que un ataque no cause ningún daño destacable. También es la manera de que en caso de no poder evitarlo la capacidad de respuesta sea la máxima posible para el mal producido sea el mínimo.
Lo más conveniente es llevar a cabo un estudio de las amenazas a las que están expuestos los equipos informáticos y las bases de datos que hay en ellos. Realiza un análisis de riesgos y una evaluación de los ataques que puedes recibir y en qué grado de probabilidad.
El mapa de riesgos es una herramienta que te permite visualizar fácilmente los peligros que afrontas y de los que debes prevenirte, a través de establecer prioridades dependiendo del nivel de amenaza y las posibles consecuencias. Es una representación gráfica para detectarlos y cuantificarlos.
Para ejemplificar el valor de cada uno de los riesgos se utilizan colores que van del verde, que es el de menor grado de peligrosidad, al rojo, que es extremo.
Cómo gestionar los riesgos en la red
Los resultados obtenidos en el análisis de riesgos marcarán la estrategia a seguir para minimizarlos y tener una defensa efectiva ante cualquier brecha de seguridad que pueda producirse.
El plan de gestión de riesgos se desarrolla teniendo en cuenta los resultados del análisis y de las medidas que se realizarán para contrarrestar cualquier ataque.
- Aceptación: en este caso se valora que si se hace efectiva la amenaza, las consecuencias serán mínimas. Se considera que los daños que producirán en equipos y bases de datos no serán relevantes. El proceder lleva a monitorizar todas las acciones que se produzcan y tratar de evitar que vayan a más, teniendo un control de lo que acontece. El riesgo es mínimo y se asume.
- Evitar y eliminar: es la circunstancia que se produce ante un incidente grave. Los daños pueden ser muy importantes, por lo que se deja de usar el sistema que sufre una amenaza crítica. Son escenarios que se producen con frecuencia y tienen consecuencias destacables. También es la acción a desarrollar cuando sea posible realizar las funciones de otra forma o dispositivo, y en actividades de menor relevancia.
- Reducir: se trata de tomar medidas a nivel técnico y organizativo que sirvan para el riesgo desaparezca totalmente o se vea mitigado eficazmente. Tiene utilidad en los casos que los peligros son muy posibles que se produzcan y tienen un impacto no demasiado elevado.
- Transferir: esta es una solución para las situaciones con unas consecuencias de daño elevadas, aunque la probabilidad que se produzcan no sea muy alta. Son amenazas nada habituales pero con las que se tienen que tomar medidas preventivas. Lo más conveniente es que un tercero sea quien realice el servicio de reparación de daños.
¿Por qué contratar un ciberseguro?
Una forma de transferir el riesgo que se produce a causa de ataques informáticos es contratar un ciberseguro, que se ocupará de los daños que se hayan producido.
Este es un producto cada vez más demandado y las compañías aseguradoras los ofrecen para sus clientes, con coberturas básicas y complementarias.
Es un producto para la protección de incidentes que se pueden producir a través de la red de internet y las tecnologías que forman su infraestructura. Es un producto que permite cubrir diferentes aspectos en los daños en sistemas informáticos y que con el aumento del teletrabajo ganan en relevancia.
La aseguradora se encarga de evaluar la infraestructura tecnológica de la empresa y todos los elementos técnicos y de ciberseguridad. Con este análisis se realiza una visión general de todo el equipamiento y estructura para detectar vulnerabilidades, sistemas no actualizados, configuraciones inseguras y procedimientos inexistentes.
Con este estudio se producirán modificaciones para rectificar la situación para tener unas condiciones mínimas de seguridad antes de confirmar la contratación del seguro. Cada compañía ofrece unas condiciones en la póliza.
Aspectos que no cubren son acciones ilícitas o intencionadas efectuadas por algún trabajador de la propia empresa. Entre estos están infringir las leyes y normativas existentes en cuanto a la protección de datos y comercio electrónico.
Traspaso de riesgos
La contratación de un ciberseguro es una de las opciones existentes para transferir a un tercero los riesgos que se producen ante un incidente de seguridad en la infraestructura informática y los datos que en ella hay.
Otras dos posibilidades es contar con un partner tecnológico o bien tener un departamento específico en la empresa para estos casos.
Establecer convenios con socios tecnológicos se realiza a través de acuerdos de servicio o SLA, que posibilitan materializar las características del servicio, medidas de seguridad, garantías y certificados requeridos al proveedor para efectuar el servicio de forma adecuada manteniendo la protección de las bases de datos y las comunicaciones.
Esta compañía se compromete a cumplir con todas las condiciones firmadas, como la capacidad de reacción y la disponibilidad. También se incluyen en el documento las penalizaciones e indemnizaciones por no cumplir con las condiciones del contrato, como que el servicio deje de funcionar, brechas de seguridad que suponen errores de confidencialidad o integridad; además de las situaciones en las que esta empresa no se hace responsable en caso de producirse alguna incidencia de seguridad.
En los SLA están cumplimentados aspectos como el funcionamiento del servicio y las garantías de disponibilidad, confidencialidad e integridad de las comunicaciones.
También deben estar presentes las certificaciones del proveedor y todas las responsabilidades que asumen las dos partes en caso de producirse una incidencia, así como los hechos por los cuales el proveedor no tiene que asumir garantías o indemnizaciones, como acciones negligentes por parte de la empresa contratante.
