Las pymes necesitan equilibrar las necesidades y los recursos de ciberseguridad

Las pequeñas y medianas empresas (PYMES) no son inmunes a los ciberataques, pero luchan con un panorama de amenazas en evolución y saben cuál es la mejor manera de gestionar el riesgo.

Durante la “Mesa redonda sobre ciberseguridad para PYMES: navegar por la complejidad y crear resiliencia” a principios de octubre, Sage reunió a un grupo de CISO y otros expertos en ciberseguridad de pequeñas empresas, agencias gubernamentales y organizaciones sin fines de lucro para discutir algunas de las mayores preocupaciones de las PYMES y su capacidad para asegurarles los activos de la Compañía. Los mayores desafíos para las PYMES y las organizaciones sin fines de lucro incluyen:

• El factor humano. Los empleados siguen cometiendo errores, como hacer clic en enlaces en correos electrónicos de phishing o permitir el acceso sin protección a sus dispositivos, poniendo en riesgo las redes de la empresa.
• Requisitos de cumplimiento de terceros. Un requisito de organizaciones asociadas, contratistas, proveedores y otras empresas de terceros para satisfacer sus necesidades de ciberseguridad, en particular organizaciones como instituciones financieras que están fuertemente reguladas.
• Leyes de protección de datos en varios estados y países. El incumplimiento de estos requisitos de cumplimiento puede resultar en sanciones y multas.
• La fuerza laboral híbrida. Las PYMES ya no tienen el mismo nivel de control sobre los dispositivos y el comportamiento en línea cuando los empleados trabajan de forma remota, aunque sea temporalmente.
• Plataformas e industrias específicas. Los actores de amenazas buscan organizaciones que utilicen aplicaciones diseñadas para recaudar dinero o recopilar grandes cantidades de datos personales.
• Panorama cambiante de amenazas. Cada día parece que hay nuevos vectores de ataque, nuevo malware y nuevos actores de amenazas.

Según un nuevo estudio, casi la mitad de las PYMES sufrieron un incidente de ciberseguridad el año pasado estudiar de sabio. Si bien el 69% de los encuestados globales dice que la ciberseguridad es parte de la cultura de su empresa, casi la misma cantidad no piensa en ello hasta que ocurre un incidente: solo uno de cada cuatro encuestados dice que su empresa habla regularmente sobre la ciberseguridad.

La ciberseguridad no tiene por qué ser cara

Después de un ataque, es demasiado tarde para iniciar discusiones sobre cómo proteger la red y el negocio, pero muchas PYMES no cuentan con los sistemas adecuados. Por ejemplo, según una investigación de Sage, el 46% de las PYMES no utilizan firewalls y el 19% depende únicamente de herramientas muy básicas.

Sí, la ciberseguridad puede resultar costosa. Grandes compañias Puede tener más de 100 herramientas de seguridad. en uso. Sin embargo, para las PYMES no tiene por qué ser tan complicado y algunos enfoques pueden incluso ser gratuitos o de bajo costo.

Comience creando uno Programa de riesgo interno que monitorea las políticas de seguridad en toda la empresa con un enfoque en el comportamiento de los empleados, recomendó Shawnee Delaney, directora ejecutiva de Vaillance Group, durante la mesa redonda.

“Requiere tener conversaciones, a veces incluso conversaciones incómodas, porque nadie quiere pensar que sus propios empleados puedan hacer algo malicioso”, dijo Delaney. “Pero la verdad es que la gran mayoría [of cyber incidents] son involuntarios”.

La gestión de los ciclos de empleo humano es fundamental para un sistema de ciberseguridad eficaz. «Todo comienza en el proceso de entrevista y contratación, asegurándose de tener a alguien que se adapte bien a la cultura de la empresa y que esté dispuesto a ver cómo la ciberseguridad encaja en la estructura organizacional», añadió Delaney. Una vez contratado, siga los procesos de incorporación que enfaticen la higiene de seguridad básica, incluidos privilegios mínimos y acceso bajo demanda. Y si el empleado se va, asegúrese Procesos de baja Desconectar el acceso por completo.

Individualizar la formación en seguridad

Debido a la conexión humana con la ciberseguridad, todos en una empresa más pequeña, desde el director ejecutivo hacia abajo, deben tener una comprensión básica de cómo son las amenazas. Existen numerosas opciones para la capacitación en concientización sobre seguridad, pero las pequeñas y medianas empresas deben evitar un enfoque único para todos.

La formación debe ser dirigido al empleado individual en base a criterios como la función profesional y las diferencias generacionales en cuanto a conocimientos técnicos e intereses. Los trabajadores mayores a menudo tienen estilos de aprendizaje diferentes a los de los trabajadores más jóvenes, del mismo modo que los trabajadores que trabajan en empleos más intensivos en mano de obra pueden tener una relación diferente con la tecnología que aquellos que están pegados a sus dispositivos todo el día. Ignorar estas diferencias dará como resultado un entrenamiento desigual que podría terminar haciendo más daño que bien.

Haga de la ciberseguridad una cuestión empresarial

Según Gustavo Zeidan, CISO de Sage, existe una tendencia, particularmente en las PYMES, a ver la ciberseguridad como un problema de TI cuyo conocimiento reside en el área tecnológica.

Un mejor enfoque es pensar en ello. La ciberseguridad como cuestión empresarial. La cultura de seguridad se impulsa mejor desde arriba, dijo Zeidan durante la mesa redonda, y la gerencia necesita discutir las amenazas cibernéticas y los posibles ataques a la empresa.

«Los líderes empresariales reconocen que es un problema, pero no hablan de ello», explicó Zeidan. Lo peor que puede pasar es no estar preparado para un incidente de seguridad que interrumpa las operaciones comerciales.

Y si se produce un ciberincidente en la empresa, no se debe mantener en secreto. La Comisión Federal de Comercio (FTC) ofrece Pautas sobre a quién debe contactar, incluidas las autoridades policiales, clientes y proveedores.

Pero no te detengas ahí. Comunicarse con otras empresas y discutir estrategias para abordar el incidente. Comparta esta información a través de organizaciones centradas en la industria o localmente. Cámara de Comercio Reuniones: en cualquier lugar donde tenga contacto con otros líderes empresariales.

«Si tiene una infracción, sea abierto, honesto y comparta sus hallazgos con otras empresas para que los profesionales puedan aprender de ellas», dijo Delaney. “No importa si somos competidores. En pocas palabras, se trata de seguridad nacional”.

Sepa dónde puede obtener ayuda

Toda empresa, independientemente de su tamaño, necesita más experiencia en ciberseguridad de la que tiene. Independientemente de cómo invierta la PYME en seguridad, la responsabilidad de la ciberseguridad debe compartirse entre toda la organización.

Hay recursos disponibles para ayudar a las PYMES en su viaje hacia la seguridad. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) tiene varios recursos, incluido uno Guía de ciberseguridad para pymes Esto se refiere específicamente a los diferentes roles relacionados con la seguridad que desempeñan los individuos en un entorno de pequeñas empresas. Asociarse con empresas de todas las formas y tamaños es el núcleo de la misión de CISA, dijo Lauren Boas Hayes, asesora principal de tecnología e innovación de CISA, panelista de la mesa redonda.

“El panorama está cambiando; «Hay nuevas amenazas todos los días», dijo Delaney. Los profesionales y las empresas pueden sentir que están teniendo un fracaso en sus esfuerzos por frustrar estas nuevas amenazas, pero la buena noticia para las PYMES es que existen técnicas de mitigación. Es sólo cuestión de encontrar el programa que funcione mejor para cada empresa.