Inicio / Guía de seguridad

Guía práctica

Seguridad básica para organizaciones pequeñas.

Las medidas que más protegen a una organización pequeña, más o menos en el orden en que conviene aplicarlas, de parte de quienes operan la seguridad de bancos, hospitales y organismos públicos. Puede imprimirla y adaptarla libremente.

Moraph Global Resilience OperationsTraducción de la guía en inglés

Active primero la autenticación multifactor en el correo

El correo es la llave maestra: casi cualquier otra contraseña se puede restablecer a través de él.

  • Active la autenticación multifactor (un segundo paso después de la contraseña) en todas las cuentas de correo, empezando por quienes manejan el dinero y quienes administran sus sistemas.
  • Prefiera una aplicación de autenticación o una llave de seguridad física antes que los mensajes de texto, que pueden interceptarse o desviarse.
  • Después haga lo mismo con la banca en línea, la nómina, las bases de datos de donantes o usuarios, y el registrador de su dominio.

Mantenga separadas las cuentas de administrador

Quien engaña a un administrador obtiene todo lo que ese administrador puede tocar.

  • Las personas que gestionan los sistemas deberían tener una cuenta de uso diario para el correo y la navegación, y otra cuenta separada que usen solo para administrar.
  • Mantenga el número de administradores lo más bajo posible y anote quiénes son.

Tenga una copia de seguridad que el ransomware no pueda alcanzar

El ransomware busca primero las copias de seguridad. Una copia en un disco siempre conectado no es una copia de seguridad.

  • Guarde al menos una copia de los datos importantes sin conexión, o en un servicio que impida borrarla durante un periodo determinado.
  • Restaure algo a partir de ella con regularidad. Una copia que nunca ha restaurado es una esperanza, no un plan.
  • Asegúrese de que incluya lo que de verdad necesitaría para volver a operar: archivos, registros contables y la configuración de los sistemas clave.

Sepa qué tiene

No se puede proteger, actualizar ni recuperar lo que se olvidó que existe.

  • Mantenga una lista de una página con los dispositivos, las cuentas y servicios en línea, quién tiene acceso de administrador a cada uno y dónde están los registros sensibles.
  • Incluya los servicios que voluntarios o antiguos empleados contrataron en nombre de la organización.

Deje que las actualizaciones se instalen solas

La mayoría de los ataques contra organizaciones pequeñas aprovechan fallas que se corrigieron hace meses o años.

  • Active las actualizaciones automáticas del sistema operativo, el navegador y el software de oficina.
  • Reemplace los dispositivos y programas que ya no reciben actualizaciones de seguridad, aunque sigan funcionando.

Retire los accesos el mismo día en que alguien se va

Las cuentas viejas son una puerta que nadie vigila.

  • Cuando un empleado o voluntario se vaya, cierre o transfiera sus cuentas ese mismo día y cambie las contraseñas compartidas que conocía.
  • Revise varias veces al año quién tiene acceso a qué. Siempre son más personas de las que espera.

Que todo cambio de datos de pago requiera dos personas y dos canales

Los correos falsos de “cambiamos nuestros datos bancarios” les cuestan a las organizaciones más que la mayoría del ransomware.

  • Nunca cambie los datos bancarios de un proveedor o empleado solo porque lo pide un correo.
  • Devuelva la llamada a un número que ya tenía, no al que aparece en el mensaje, y pida que una segunda persona apruebe el cambio.

Use las protecciones que ya tiene

Muchas plataformas de correo y productividad incluyen funciones de seguridad que vienen desactivadas.

  • Compruebe que estén activadas las opciones de seguridad recomendadas por la plataforma, incluida la protección contra archivos adjuntos y enlaces maliciosos, y las alertas de inicios de sesión sospechosos.
  • Muchos proveedores de tecnología tienen programas para organizaciones sin fines de lucro. Pregunte al suyo qué incluye antes de comprar algo más.

Haga a sus proveedores las preguntas difíciles

Sus datos están tan seguros como la empresa más débil que los guarda.

  • Antes de firmar, pregunte dónde se guardan sus datos, quién en el proveedor puede verlos, con qué rapidez le avisarán de una filtración y cómo recupera sus datos si se va.
  • Pida las respuestas por escrito. A un proveedor serio no le molestará.

Lea su seguro cibernético antes de necesitarlo

Algunas pólizas exigen llamar a la aseguradora antes de contratar a cualquiera para ayudar.

  • Si tiene un seguro cibernético, averigüe ahora qué cubre, qué debe hacer primero y a qué número llamar. Anote ese número en su plan para la primera hora.

Ponga por escrito la primera hora

Durante un incidente, los sistemas donde guarda su plan pueden ser justo los que no funcionan.

  • Escriba un plan de una página: quién decide, a quién llamar, qué desconectar, dónde están las copias de seguridad y cómo se comunicará con el personal sin correo.
  • Imprímalo. Guarde una copia fuera de la red de su oficina.

Si ocurre

La primera hora de un incidente.

Imprima esta página y guárdela fuera de su red.

  1. Desconecte, no apague.Desconecte de la red los dispositivos afectados o apague el wifi. Déjelos encendidos: apagarlos puede destruir pruebas de lo ocurrido.

  2. Pase a un canal seguro.Suponga que el correo y el chat pueden estar comprometidos. Coordínese por teléfono o desde dispositivos personales.

  3. Llame a su aseguradora y después a la agencia nacional.Si tiene un seguro cibernético, llame primero a la aseguradora: muchas pólizas lo exigen. Después, repórtelo a la agencia nacional de ciberseguridad.

  4. Anótelo todo.Lleve una cronología: qué notó, cuándo y qué hizo. Quienes atiendan el incidente, las aseguradoras y los reguladores se la pedirán.

  5. No pague, borre ni negocie por su cuenta.Pagar un rescate no garantiza recuperar nada y en algunos casos puede ser ilegal. Busque asesoramiento antes.

  6. Piense a quién debe avisar.Si pueden estar involucrados datos personales, de salud o financieros, puede tener la obligación legal de avisar a las personas afectadas o a un regulador, a menudo dentro de un plazo. Busque asesoramiento cuanto antes.

Agencias nacionales que reciben reportes de incidentes:

En otros países, comuníquese con el equipo nacional de respuesta a incidentes informáticos (CERT) o con la policía.

¿Quiere que alguien revise su configuración?

Shield ofrece a las organizaciones que cumplen los requisitos una revisión de seguridad a cargo del equipo de operaciones de seguridad de Moraph, y ayuda para aplicar las correcciones.

Solicitar Shield