Lista de ciberseguridad para pequeñas empresas: 12 protecciones para empresas en Florida

Las pequeñas empresas suelen pensar que son demasiado pequeñas para ser un objetivo. Los atacantes lo ven de otra forma: las empresas pequeñas suelen tener menos protecciones, los mismos datos valiosos (datos bancarios, expedientes de clientes, acceso al correo) y dueños ocupados en todo lo demás. La mayoría de los ataques no son personales. Son automáticos y buscan la entrada más fácil.

La buena noticia es que las entradas más fáciles son bien conocidas, y cerrarlas no requiere un gran presupuesto. Use esta lista para ver en qué situación está su empresa.

Cuentas y contraseñas

1. Autenticación multifactor (MFA) en todo lo que la admita. Empiece por el correo y siga con el banco, la nómina, la contabilidad, el acceso remoto y todas las cuentas de administrador. La MFA detiene la mayoría de los ataques que dependen de una contraseña robada o adivinada. Siempre que pueda, use una aplicación de autenticación en lugar de mensajes de texto.
2. Un administrador de contraseñas para el equipo. Contraseñas largas y únicas para cada cuenta, guardadas en un administrador de contraseñas empresarial y no en una hoja de cálculo, una libreta o el navegador. Cuando alguien se va, usted sabe exactamente qué contraseñas cambiar.
3. Cuentas de administrador separadas, usadas solo para tareas de administración. Nadie debería leer el correo ni navegar por internet con una sesión de administrador. Si esa cuenta se ve comprometida, el atacante obtiene las llaves de todo.
4. Un proceso claro cuando alguien entra o sale. El personal nuevo recibe solo los accesos que necesita. Cuando alguien se va, sus cuentas se desactivan el mismo día, se conservan su correo y sus archivos, y se cambian las contraseñas compartidas.

Equipos y software

5. Actualizaciones automáticas del sistema operativo y las aplicaciones. La mayoría de los ataques exitosos aprovechan debilidades que ya tienen una corrección disponible. Active las actualizaciones automáticas y asegúrese de que alguien compruebe que realmente se instalan, también en servidores y firewalls.
6. Protección de endpoints (EDR) en cada computadora y servidor. El EDR moderno hace más que un antivirus: detecta comportamientos sospechosos, puede aislar de la red un equipo infectado y alerta a alguien que puede responder.
7. Computadoras portátiles cifradas. BitLocker en Windows y FileVault en Mac hacen que una portátil perdida o robada sea un problema de hardware y no una filtración de datos.
8. Un firewall empresarial y una red Wi-Fi aparte para invitados. Los visitantes, los teléfonos y los dispositivos inteligentes no deberían compartir la red donde están sus computadoras y archivos. Cambie las contraseñas predeterminadas de routers, impresoras y cámaras.

Correo y personas

9. Filtrado y autenticación del correo. Filtre el correo entrante contra phishing y malware, y configure SPF, DKIM y DMARC para que los delincuentes no puedan enviar fácilmente correos haciéndose pasar por usted. Lo explicamos en SPF, DKIM y DMARC explicados.
10. Capacitación en seguridad breve y frecuente. Enseñe al personal a reconocer el phishing, a confirmar por teléfono cualquier cambio de pago usando un número que ya tengan, y a reportar cualquier cosa extraña sin miedo a que los culpen. Unos minutos al mes funcionan mejor que una sesión larga al año.

Copias de seguridad y planificación

11. Copias de seguridad que siguen la idea 3-2-1, y que se prueban. Mantenga al menos tres copias de los datos importantes, en dos tipos de almacenamiento distintos, con una copia fuera de la oficina o en la nube y protegida contra eliminación. Incluya los datos en la nube como Microsoft 365, que casi todos olvidan (vea ¿Microsoft 365 respalda sus datos?). Pruebe una restauración con regularidad.
12. Un plan de incidentes sencillo y por escrito. Basta con una página: a quién llamar, cómo desconectar una computadora infectada, dónde están las copias de seguridad, quién contacta al banco, a la aseguradora y a los clientes, y quién decide cuándo pedir ayuda externa.

Una nota sobre la ley de Florida

Si su empresa guarda información personal de residentes de Florida, como nombres junto con números de Seguro Social, datos de cuentas financieras, información médica o credenciales de acceso en línea, le aplica la Ley de Protección de la Información de Florida (Florida Information Protection Act). Esta ley exige que las empresas tomen medidas razonables para proteger esos datos y, después de una filtración, que notifiquen a las personas afectadas a más tardar 30 días después de determinar que ocurrió, con aviso a la oficina del Fiscal General de Florida cuando se ven afectados 500 o más residentes del estado (Estatutos de Florida, sección 501.171). Esta lista es un buen comienzo en cuanto a "medidas razonables", pero consulte a su abogado sobre sus obligaciones específicas.

Las industrias reguladas tienen requisitos adicionales: HIPAA en el sector de la salud, y CMMC y NIST SP 800-171 para las empresas que trabajan con el Departamento de Defensa.

¿Cuántos puntos obtuvo?

• 11 a 12: Está en buena forma. Siga revisándolo cada año y cada vez que algo cambie.
• 7 a 10: Buenas bases con algunos vacíos. Si le falta la MFA, las actualizaciones o las copias de seguridad, corrija eso primero.
• 6 o menos: Su empresa está expuesta a los ataques más comunes. La buena noticia es que la mayoría de estos puntos se pueden resolver en semanas, no en meses.

Cómo puede ayudarle CyberArm

Todos los planes administrados de CyberArm incluyen lo esencial de esta lista: EDR en cada equipo, MFA, filtrado de correo y actualizaciones. Nuestros paquetes de ciberseguridad agregan monitoreo SIEM, filtrado DNS, capacitación en seguridad y escaneos trimestrales de vulnerabilidades, además de preparación para el cumplimiento de HIPAA, CMMC y NIST. Las copias de seguridad son un servicio adicional aparte, así usted elige la cobertura que necesitan sus datos.

En resumen

No tiene que hacerlo todo a la vez, pero sí necesita saber en qué situación está. Nuestra evaluación gratuita de TI y seguridad revisa las copias de seguridad, la seguridad del correo y de los inicios de sesión, las actualizaciones, la red y el firewall, los equipos y el cumplimiento, y usted recibe un Resumen Ejecutivo por escrito con las pocas correcciones que conviene hacer primero.