Steven LafortuneAy, otro 4 de mayo ha pasado, y la celebración de todo lo relacionado con Star Wars ha terminado. ¿O no?
Aquí, en Devolutions, nos encanta tanto Star Wars que quisimos alargar un poco más la fiesta. También queríamos poner el foco en una película que ha sido muy criticada y denostada a lo largo de los años, pero que ahora vive una especie de renacimiento, con algunos fans que la consideran una de las mejores entregas (y sin duda la más oscura y triste) de toda la saga. Sí, hablamos de Star Wars: Episodio III – La venganza de los Sith.
Y ahí fue cuando surgió una idea, como los dos soles de Tatooine: ¿y si repasábamos la película en busca de ejemplos de errores de ciberseguridad que suelen cometer las pequeñas y medianas empresas (pymes) y luego compartíamos cómo solucionarlos? El concepto fue debidamente aprobado por el Consejo Jedi de Devolutions (también conocido como nuestro friki equipo de comunicaciones).
Así que póngase cómodo, sírvase un vaso de Yoda Soda (sí, esto existe de verdad), y acompáñenos mientras extraemos advertencias e ideas sobre ciberseguridad de la mano de Anakin Skywalker, el Canciller Supremo Palpatine, Obi-Wan y el resto del elenco de La venganza de los Sith.
No gestionar el acceso a las cuentas privilegiadas
La venganza de los Sith está repleta de pequeños detalles, y hasta el fan más acérrimo puede pasar por alto algo que parecía intrascendente, pero que en realidad fue decisivo. Por ejemplo, tomemos la épica escena en la que Obi-Wan se enfrenta al General Grievous en Utapau. Obi-Wan logró usar la Fuerza para recuperar el bláster caído del general, que luego usó para destruirlo. Fue apasionante y entretenido.
Sin embargo, ¿qué habría pasado si el bláster del general hubiera estado protegido por algún tipo de mecanismo de autenticación diseñado para salvaguardar las armas asignadas a los oficiales, armas que no deberían funcionar para cualquiera que simplemente las recoja del suelo? En ese caso, en lugar de abrirse paso a tiros hacia la victoria, es posible que Obi-Wan hubiera terminado gritando en básico galáctico estándar, twi’leki, amani, alderaaniano antiguo y shyriiwook.
En ese mismo sentido, las pymes deben identificar, proteger y supervisar sus cuentas privilegiadas. A diferencia de las cuentas de usuario estándar, las cuentas privilegiadas cuentan con permisos elevados y ofrecen acceso a datos, sistemas y recursos críticos dentro de una organización. Algunos ejemplos son (entre otros) las cuentas de administrador de dominio, las cuentas de administrador local, las cuentas de acceso de emergencia, las cuentas de sistema y las cuentas de servicio de dominio.
Solo determinadas personas autorizadas —como los administradores de sistemas (y quizás los Caballeros Jedi)— deberían tener acceso a las cuentas privilegiadas. Pero la realidad es bastante distinta. De hecho, el 55 % de las organizaciones no sabe cuántas cuentas privilegiadas tiene ni dónde se encuentran. Es más, más del 50 % de las cuentas privilegiadas nunca caducan ni se dan de baja, y el 74 % de las brechas de datos comienza con el abuso de credenciales privilegiadas.
¿La buena noticia? Las pymes pueden convertir esta debilidad en una fortaleza con una sólida solución de gestión de accesos privilegiados (PAM). Por ejemplo, Devolutions PAM es una potente y asequible solución de ciberseguridad que controla y supervisa el acceso privilegiado a sistemas y datos críticos. Ayuda a las pymes a proteger sus «llaves del reino» y a mantener fuera a los actores maliciosos (del tipo hacker, no del tipo Hollywood). Obtenga más información sobre Devolutions PAM consultando estas preguntas frecuentes.
Creer que los gestores de contraseñas son soluciones de seguridad independientes
En La venganza de los Sith, en lugar de abrazar la Fuerza, Anakin Skywalker se pasa al Lado Oscuro y se convierte en Darth Vader. Fue un recordatorio vívido y escalofriante de que las cosas, y las personas, no siempre son lo que parecen, ni lo que queremos que sean.
Ese mismo tipo de confusión existe en el mercado de la gestión de contraseñas. Desentrañarlo es un poco complicado (pero no se preocupe, no es tan complejo como los intercambios de sable láser entre Palpatine y Anakin durante el duelo en Mustafar).
Por lo general, usar un buen gestor de contraseñas es más seguro que no usar ninguno, porque significa que los usuarios finales (con suerte) no almacenan las contraseñas en hojas de cálculo, notas adhesivas u otros métodos que quitan el sueño a los profesionales de la ciberseguridad.
Sin embargo, a pesar de su nombre, los gestores de contraseñas no son soluciones de seguridad independientes. Más bien, son herramientas de continuidad de negocio que permiten a los usuarios compartir bóvedas que contienen información como credenciales, números de tarjetas de crédito, datos de conexión remota y mucho más.
Lo bueno de esto es que, si un usuario abandona la organización, sus compañeros no tienen que rebuscar entre correos electrónicos o documentos para encontrar las contraseñas: simplemente inician sesión en el gestor de contraseñas centralizado y ahí está todo.
Lo que no es tan bueno es que no hay nada inherentemente seguro en los gestores de contraseñas. Todo lo que tiene que hacer un usuario que se marcha es copiar y pegar la información confidencial en otro fichero. Sí, en teoría, esta vulnerabilidad se eliminaría si una organización cambiara todas las contraseñas cada vez que alguien se marcha, pero eso resulta muy poco práctico. Y hacer que las contraseñas se restablezcan automáticamente después de cada uso no afecta a las aplicaciones ni a los sitios web de terceros.
Por suerte, las pymes pueden superar este problema complementando su gestor de contraseñas con una solución que también permita la gestión de sesiones privilegiadas (PSM) o la gestión de accesos privilegiados (PAM). Esta combinación ofrece funciones de seguridad integrales como:
- Inyección segura de credenciales
- Descubrimiento de cuentas
- Rotación automatizada de contraseñas
- Alertas y notificaciones
- Proceso de aprobación de solicitudes de préstamo de credenciales
Para obtener más información sobre las diferencias entre los gestores de contraseñas y las soluciones PSM/PAM, lea este excelente artículo de Gabriel, nuestro gerente de operaciones de ventas.
No usar la autenticación multifactor (MFA)
En cuanto a vestuario, frases ingeniosas y música metal endiabladamente genial, el Imperio Galáctico merece un 10 sobre 10. Pero en cuanto a las prácticas básicas de ciberseguridad, merecen que les caiga un torrente de rayos de la Fuerza, porque sus prácticas son extraordinariamente, y a veces cómicamente, malas. Básicamente, las redes del Imperio están abiertas a cualquiera que tenga ganas de conectarse. Vaya, la contraseña del Señor Sith probablemente sea «123456».
De manera similar, a pesar de los constantes titulares sobre ciberataques, muchas pymes todavía no usan una de las formas más simples e inteligentes de reducir el riesgo: la MFA.
La MFA añade una capa adicional de seguridad que exige a los usuarios verificar su identidad proporcionando sus credenciales de inicio de sesión más otro factor, que puede ser:
- Algo que saben (por ejemplo, una contraseña, un PIN o la respuesta a una pregunta secreta)
- Algo que tienen (por ejemplo, un smartphone o un token físico)
- Algo que son (por ejemplo, huella dactilar, reconocimiento de voz o escaneo de retina)
La MFA no es 100 % infalible (pero sigue siendo más resistente que sea lo que sea de lo que está hecha la armadura de los clonetrooper, ¿poliestireno expandido?). Aun así, es una decisión muy inteligente. En las soluciones de Devolutions, la MFA se configura a nivel de origen de datos, excepto en Devolutions Server, donde se configura a nivel de usuario. Visite esta sección de la base de conocimientos para obtener más información y conocer los pasos de configuración.
Pensar que son demasiado pequeñas para sufrir un hackeo
En La venganza de los Sith, Yoda comprende que su pequeño tamaño (apenas 66 cm) no va a impedir que alguien intente jubilarlo antes de tiempo. Si no, que se lo pregunten al Canciller Palpatine, que lo derrotó en la Cámara del Senado Galáctico.
Por desgracia, algunas pymes no son tan sabias como Yoda. Creen que no son vulnerables a una brecha de datos porque los hackers están demasiado ocupados atacando a las grandes empresas. Eso es solo un deseo. La realidad es que los hackers atacan cada vez más a las pymes precisamente porque esperan encontrar defensas débiles, o incluso inexistentes. Considere lo siguiente:
- El 43 % de todos los ciberataques a nivel mundial se dirige ahora a las pymes
- El coste medio de una brecha de datos para las pymes ha aumentado a 2,98 millones de dólares estadounidenses por incidente
- El 69 % de las pymes ha sufrido al menos un ciberataque en el último año
¿La conclusión? Las pymes deben convertir el fortalecimiento de su perfil de ciberseguridad en una prioridad absoluta, o arriesgarse a acabar en el bando perdedor de una batalla muy costosa.
Intentar hacerlo todo por sí solas
En La venganza de los Sith, Obi-Wan busca el consejo de Yoda al enterarse de que Anakin Skywalker se ha pasado al lado oscuro. Es una clara muestra de que incluso las personas más capaces necesitan ayuda a veces.
De la misma manera, muchas pymes necesitan apoyo para reforzar sus defensas de ciberseguridad. Aquí tiene dos formas de reducir el riesgo:
-
Elija proveedores especializados en pymes. Estos proveedores ofrecen soluciones y herramientas de ciberseguridad potentes, asequibles y fáciles de gestionar. Desde hace más de 15 años, Devolutions se enorgullece de servir, apoyar y fortalecer a las pymes de todo el mundo.
-
Trabaje con un proveedor de servicios gestionados (MSP) que, como Devolutions, esté comprometido con ayudar a las pymes de una manera significativa y rentable. Lea este artículo para obtener consejos sobre cómo elegir el socio MSP adecuado.
Recuerde: reconocer que no cuenta con los especialistas internos ni la tecnología necesarios para defenderse de hackers dignos de los Sith no es una debilidad, es sabiduría.
¿Cuál es su opinión?
¿Qué le ha parecido nuestro repaso a cinco grandes errores de ciberseguridad que cometen las pymes, y cómo solucionarlos? ¿Hay algún error (o varios) que le parezca especialmente grave? ¿Hay otros que añadiría a la lista? Siga sintiendo la Fuerza y comparta sus comentarios más abajo.
