La ciberseguridad en las pymes: un campo desafiante en busca de innovaciones con las que defenderse

A pesar de que solemos asociar las ciberamenazas a las grandes compañías y gobiernos, lo cierto es que este tipo de ataques forman parte del día a día de empresas de toda índole, también de las pymes. O, mejor dicho, especialmente de las pymes, en tanto que están igualmente expuestas a estas campañas (el 74% de las compañías ha sufrido algún incidente cibernético, según un reciente estudio) pero las enfrentan con una disparidad de recursos por su propia escala.

Por eso resulta relevante conocer cuáles son sus impresiones de primera mano y descubrir cómo están afrontando estos retos en materia de ciberseguridad, anticipando los ataques y minimizando sus daños una vez se produce. Y es que sólo existen dos tipos de empresas: aquellas que ya han sido atacadas y aquellas que todavía no.

En ese sentido, D+I ha reunido a los responsables de ciberseguridad de importantes pymes españolas, como Mutua Tinerfeña, Jesús Navarro SA o la Compañía de Jesús para, junto a Dell Technologies e Intel, conocer sus estrategias, tecnologías y visiones.

José Carlos Rodríguez, responsable de Seguridad de Mutua Tinerfeña, introduce que el reto fundamental que las pymes tienen por delante pasa por "evolucionar los componentes del ecosistema de seguridad a la misma rapidez a la que evolucionan las vulnerabilidad y las amenazas. Nos están sometiendo a un gran estrés porque los recursos que tenemos para dedicar a estas disciplinas no son los mismos que las grandes empresas, pero las amenazas sí son las mismas". Si añadimos a la ecuación las derivadas regulatorias o el aumento de la superficie de ataque con la llegada de la nube o el trabajo híbrido... y ya tenemos marcado un primer diagnóstico.

"Otra cosa muy complicada es hacer comprender, especialmente a la dirección de la empresa, la importancia de cuidar los datos digitales. Las empresas invierten mucho en la parte de seguridad física -como cajas fuertes, cerraduras, vigilancia...- pero la parte de ciberseguridad y comunicaciones está ahí, alejado de la vista", añade Miguel Ángel Abad, administrador de Sistemas y Ciberseguridad de Jesús Navarro SA. El experto de esta empresa, responsable de las conocidas especias 'Carmencita', pide en definitiva más "concienciación sobre la seguridad digital" para asegurarnos de que "el eslabón más débil, el humano, no falle".

José Márquez, responsable TIC de la zona Sur de la Compañía de Jesús, apela a las particularidades que albergan los datos en cada uno de los sectores de actividad. En su caso, los "poco golosos" datos de estudiantes pero en torno a los que cualquier incidente puede causar un enorme "daño reputacional, que tiene más valor casi que los datos en sí". Márquez asume que "nunca podremos aspirar a ir por delante de los ciberatacantes, por lo que hay que aceptarlo y ver cómo minimizar el riesgo dentro de lo posible y tener un plan por si el ataque es exitoso"

A su vez, Javier González Alonso, Account Systems Engineer en Dell Technologies, confirmó que "es más sencillo atacar a una empresa más pequeña que a una más grande. Y los ataques son cada vez más sofisticados: hay estadísticas que indican que el tiempo medio desde que se infiltran en una empresa hasta que ejecutan el ataque es de tres mes. Los atacantes quieren infiltrarse, ver cómo hacemos las cosas, cuál es nuestra red de producción, cuáles son los sistemas de backup y cómo poder comprometer los datos principales".

Para él, la respuesta pasa por "poner más y más capas de seguridad, pero también definir cuál será el protocolo en caso de que realmente el ataque sea exitoso, cómo y en qué orden levantar los sistemas más críticos y tenerlo todo claro".

La evolución de los ciberataques

Preguntados los ponentes en este encuentro por la tipología de ciberataques que reciben, nuestros protagonistas no se esconden. José Carlos Rodríguez reconoce haber sufrido campañas de ransomware exitosas "alrededor de 2017" que permitieron a esta aseguradora "mejorar mucho la agilidad en la respuesta", especialmente en cuanto a los protocolos de respuesta se refiere. Mutua Tinerfeña también está sometida a numerosas vulnerabilidades relacionadas con el robo de credenciales, phishing e intentos de intrusión.

El directivo reconoce el "engorro" que suponen medidas como la gestión de identidades para los empleados, por muy necesarias que sean para proteger ese eslabón débil al que todos los ponentes apelan. Miguel Ángel Abad, de Jesús Navarro SA., cree que "la mentalidad va cambiando poco a poco y vamos dejando de ser los malos".

Abad y su contertulio José Márquez añaden a la ecuación otro aspecto más: el miedo. "Miedo sobre todo a lo desconocido, a no saber cómo detectarlo, a lo que todavía no sabemos que está ahí", admite el experto de los colegios de la Compañía de Jesús. "Especialmente porque hablamos de datos de menores, muy sensibles, y donde entra en juego la confianza que depositan en nosotros los padres y la comunidad".

Innovación para superar la brecha

Ante todos estos desafíos, la pregunta obligada pasa por cómo puede la innovación ayudar a las defensas cibernéticas de las pymes. De si los avances tecnológicos en esta arena pueden ayudar a paliar el diferencial de recursos y talento que este tipo de compañías admiten respecto a las grandes organizaciones.

"La seguridad tiene que ver con absolutamente todos los elementos, desde el hardware al software de la empresa, desde distintos puntos de vista a nivel de infraestructura y en todos y cada uno de los dispositivos", explica Javier González Alonso, de Dell Technologies. "También estamos trabajando en una suerte de entorno aislado que sea la última salvaguarda, como una caja de seguridad donde tengamos todos los datos mínimos que permitan levantar la producción mientras tratas de recuperar, que suele durar meses, toda la información tras un ataque".

Pero hay mucha más innovación que ya está presente en las pymes que se han reunido con D+I: seguridad perimetral, en el punto final, segmentación de red, gestión de identidades, análisis de comportamiento, disaster recovery... (Mutua Tinerfeña); siempre bajo una premisa de 'zero trust', con control estricto de los dispositivos móviles y copias de seguridad bien definidas (Jesús Navarro SA.); o la migración hacia nuevos enfoques que tengan en cuenta el perímetro tan difuso y amplio de que disponen las empresas en la actualidad y una posición tanto activa como pasiva respecto a la ciberseguridad (Compañía de Jesús).

La llegada a nuestras vidas de la nube pública y la migración de grandes cargas de trabajo a los hiperescalares también trae consigo nuevos desafíos. "Abogamos por tener una gestión común, independientemente de dónde esté situada una carga de trabajo. Podemos unificar las operaciones para que se gestionen de igual manera en una nube pública, en un centro de datos propio o desde un dispositivo móvil", detalla el experto de Dell Technologies. "Obviamente la virtualización de la red y SD-WAN, llevando inteligencia a las redes, ayuda a todo ello para actualizar las funciones de red y que la administración sea común".