Seguridad de la informacion en la PYME

Hoy en día la información sobre incidentes informáticos fluye con gran rapidez y nos alerta sobre nuevos fallos de seguridad, que en la mayoría de los casos, son realmente fallos que aprovechan defectos en los sistemas y las aplicaciones que utilizamos en la empresa. Aunque estos fallos existan, una protección eficiente lograra que no nos afecten y sobre todo una aptitud responsable de los empleados.


La formación de los empleados que trabajen con TIC es tan fundamental como la formación de unos buenos técnicos de mantenimiento o cualquier otro profesional. Un empleado bien formado ha de saber identificar, gestionar y resolver casi cualquier problema derivado de un fallo informático y ha de reconocer cuando un correo electrónico es legítimo o no.

La informática hace que la empresa sea más productiva y por lo tanto estar desactualizados ralentiza los procesos y nos hace menos competitivos y vulnerables a ataques.

Otro punto importante es la configuración de los equipos y las aplicaciones instaladas, ya que una mala configuración y un exceso de aplicaciones que no sean de utilidad generan puntos débiles que acarrean retrasos en las tareas y aumentan la vulnerabilidad.

En lo que se refiere a suites de seguridad informática, cabe destacar que el poseer elementos en exceso puede acarrear la pérdida de productividad y por eso conviene realizar un estudio de las necesidades de cada puesto informático. Para poner un ejemplo, pongamos un ordenador que orienta a nuestro cliente sobre cómo realizar un trámite, este ordenador no está conectado a red y lo actualizamos mediante una llave USB… Por tanto el software de seguridad debería de ser liviano por ejemplo un antivirus bajo demanda sería suficiente, ya que antes de instalar nada le actualizamos la base de datos de virus y lo ejecutamos antes y después de la instalación, de esta forma ya tenemos el PC protegido y sin elementos innecesarios como pudiera ser un antispam o protección residente.

Otro punto a tener en cuenta es que la seguridad de la información no solamente se refiere a la seguridad del equipo informático, sino que también lo hace al resto de soportes como el papel. De nada serviría si ciframos y guardamos en un lugar seguro, por ejemplo, nuestra cartera de clientes si luego el comercial se deja olvidada la carpeta en la cafetería, que contiene estos datos en formato papel.

Veamos ahora algunas aplicaciones informáticas existentes y que nos pueden ser de gran utilidad, siempre que se utilicen de forma correcta.

Los filtros antispam, nos ayudan a reducir y minimizar el correo ‘’basura’’ o no deseado, que la mayoría de las veces por no decir en la totalidad es aquel que no ha sido solicitado ni es de interés para la empresa, ósea ni clientes, ni proveedores ni administración. Para ello es fundamental tener un buen filtro y a ser posible inteligente, ósea que aprenda a identificar cual es y cual no es correo no deseado. Conviene que tras la instalación de dicho filtro y sobre todo las primeras semanas se vigile la carpeta de correo no deseado pues allí nos pueden aparecer correos que hayan sido identificados como spam sin serlo. La configuración adecuada de esta herramienta es muy útil ya que ahorra muchísimo tiempo a la hora de comprobar el correo electrónico. Esta herramienta es útil en ordenadores que puedan recibir correo electrónico, por lo que no será útil en equipos que no estén nunca conectados a la red, o que no estén destinados a recibir correo. Hay que matizar que si un ordenador no está destinado a recibir correo pero un empleado sin formación o que por omisión de las normas de la empresa accede a su correo personal, puede estar poniendo en peligro la seguridad de este equipo y aquellos que estén conectados con él.

El antivirus, esta herramienta informática es básica, pues ningún ordenador debe de prescindir de ella. Su función cuando se crearon era la de localizar virus informáticos, pero actualmente y debido a la gran aparición de otro tipo de amenazas, también localizan otros tipos de malware que pueda afectar al equipo. Suele ser la base de las suites ofimáticas, pues no existe ninguna que se venda como lote sin antivirus. Para ordenadores que no se conecten a red y que normalmente no se les introduzcan medios extraíbles como discos duros, lápices USB u otros dispositivos de almacenamiento y red, bastaría con una solución no residente, esto significa que la aplicación no estará funcionando y escaneando los procesos en tiempo real, sino que lo hará bajo demanda por lo que cuando efectuemos cambios de software o lo conectemos a una red deberemos realizar manualmente una búsqueda de malware.

El anti spyware, Es una herramienta fundamental cuando un ordenador se conecta a red, más aun cuando dicho PC pueda contener información relevante o pueda ser utilizado para el acceso a zonas restringidas por contraseñas. Como norma general la mayoría de suites ofimáticas lo incorporan.

El cortafuegos o firewall, para mí de las herramientas más necesarias en la empresa, y creo que sería indispensable para cualquier equipo que exista en la empresa, su función es la de bloquear puertos, y se puede utilizar tanto en ordenadores online como los que no lo están. Muchos os preguntareis ¿para qué usarlo en un pc que no está online? Pues es bien sencilla la respuesta precisamente para que nadie pueda ponerlo online porque hoy en día simplemente con conectar nuestro móvil y usarlo como modem ya tendríamos acceso a red desde ese equipo, pudiendo comprometer la información del mismo o provocando por descuido o por voluntad que el equipo sea infectado con malware.

Herramientas de control parental y similares, que aunque parezca que no son de utilidad en la empresa, en un momento dado sí que pueden ser útiles, sobre todo cuando detectamos que determinado empleado accede a páginas no relacionadas con su puesto de trabajo.

Herramientas de backup o copia de seguridad, estas suelen ser vitales, ya que gracias a ellas podremos recuperarnos con gran rapidez de un eventual fallo técnico o de borrados accidentales entre otros.

Existen más conjuntos de herramientas que por el momento no incluiré en mi blog, porque a nivel básico conocer las funciones de las que aquí cito serán más que suficientes para establecer un mínimo de seguridad.

Para agilizar el sistema operativo podemos recurrir a eliminar servicios y procesos que trae de por si el sistema operativo, adecuando a cada puesto de trabajo lo que necesita para su funcionamiento, para los usuarios de los Windows lo pueden hacer ejecutando las consolas de services y msconfig desde las cuales podrán desactivar aquellas que no sean necesarias en ese equipo concreto. Muchos sistemas operativos, entre ellos los de Microsoft, incorporan software que en determinados equipos no es necesario (Messenger, explorador, reproductor de video…) por lo tanto siempre es recomendable instalar de forma personalizada e individual el sistema y adaptarlo a las necesidades del puesto de trabajo.

Pero pese a todo el esfuerzo técnico y tecnológico que pueda hacer una empresa, nunca ha de faltar la mejor de las herramientas, que no es otra que el uso responsable por parte del empleado y la existencia de copias de seguridad actualizadas.

Certificados de firma electrónica

Al igual que las personas físicas, nuestra organización y sus miembros pueden realizar firma electrónica en nombre de la organización, de modo que como miembros de la misma pueden sellar o firmar un documento sin tener que utilizar su certificado personal. Para ello existen diferentes certificados que emiten las distintas autoridades de servicios de certificación.


En la actualidad los más conocidos y utilizados certificados de entidad jurídica

Son:

• Certificado de servidor: Es el que se utiliza en el conocido canal de comunicación segura, ósea el https, y lo que nos permite es identificar que el sitio web pertenece a cierta organización y crea un canal de comunicación seguro. Este certificado es muy utilizado para evitar engaños y de esta forma saber quién o qué organización está detrás de esa web y además sirve para cifrar los datos que enviemos.

• Certificado de código: Es utilizado en la creación de aplicaciones informáticas y lo que permite es identificar la autoría de dicha aplicación (propiedad intelectual) y garantiza que nadie introduzca o modifique el programa o aplicación. Para que nos entendamos lo que asegura es la integridad del software y quien lo ha creado (firmado)

• Certificado de cifrado: convierten la información en ininteligible para usuarios no autorizados a su uso o visualización, lo que hacen es cifrar el dato para que el otro interlocutor lo descifre.

• Certificado de factura electrónica: Son aquellos que emiten las autoridades de certificación y que están destinados a la creación de facturas electrónicas, y pueden ser certificados de apoderados representante, empleado… u otras identificaciones que permiten al rector final justificar la compra de servicios o bienes con garantía jurídica de igual forma que con la factura en formato papel.

• Certificado personal: Es el que incorpora el DNIe o el que entrega bajo demanda la Real Fábrica de Moneda y Timbre, e identifica a la persona física, pudiendo esta firmar datos electrónicos de forma personal y en las ocasiones necesarias de ámbito laboral.

• Otros: Cada día parecen nuevos certificado como solución a diferentes necesidades particulares y sobre todo de empresas, un ejemplo los certificados de tiempo que lo que hacen es reflejar de forma verificable que el documento se sella en fecha y hora que consta.

Elegir software

Para elegir un software para empresa lo más importante es centrarnos en la calidad del mismo, al igual que se hace con el resto de herramientas de la empresa. Las empresas cada vez necesitan mejorar y adaptarse a los nuevos tiempos, en que superar a la competencia es una meta muy llamativa y a veces crucial.


Una autoevaluación del software debe de hacerse en torno a tres puntos, que son:

• Tiempo de entrega del trabajo.

• Coste.

• Calidad.

Hay que ponerse en la ‘’piel ‘’ del cliente y hacerse la pregunta ¿Qué prefiero… Calidad, coste o entrega a tiempo? Normalmente todos responderíamos calidad, ya que de poco servirá el que el precio sea bajo o lo entreguen en las fechas previstas, si al final el producto no cumple su cometido o lo hace de forma no adecuada.

Cuando hablamos de tecnología de la información (TI) es más visible los efectos de un software de baja calidad, ya que puede acarrear grandes costes económicos.

Por todo esto a la hora de elegir un producto de software, se debe en primer lugar comprobar si existe este producto en el mercado, si cumple nuestras expectativas y si es un producto bien probado. Si en el mercado no se encuentra el producto que mejor se adapte a nuestras necesidades, lo encargaremos a una empresa de software, exigiendo en todo momento una planificación del proyecto que incorpore el seguimiento de la funcionalidad del software y en el que se realicen las pruebas de calidad del mismo, como rendimiento, seguridad, fiabilidad, estabilidad… y otro punto importante a la hora de que nos desarrollen un software específico para nuestra actividad, es que nos garanticen un buen soporte técnico que incluya el parcheo en caso de futuras inconformidades.

Una parte vital antes de comprar o encargar un producto de software es tener bien claro lo que se espera de él, sus funciones y la compatibilidad con los equipos de hardware, por lo que habrá que dejarlo bien claro al proveedor.

Recordar siempre que la calidad influirá en el negocio de tal forma que nos permitirá una disponibilidad e integridad indispensable para la continuidad del negocio.

Gestión de servicios

En este post haremos una breve introducción a la gestión de servicios, enfocada al ámbito de la calidad de los servicios en el sector de las tecnologías de la información. Lo que se pretende con este post no es más que concienciar de la necesidad de dar calidad a la gestión de los servicios ofrecidos por las empresas y servir de guia para aquella empresa que esté interesada en establecer un sistema, en base a la norma ISO 20000. No se pretende redactar dicha norma ni siquiera las metodologías existentes, pues para ello ya existen numeras web de las que obtener información y además, los estándares ya son bien conocidos en el ámbito empresarial.


Es vital que se involucre desde el miembro más alto de la dirección hasta el chico en prácticas recién contratado.

Lo más importante es implantar un método, y crear un documento en el que se defina las funciones y las responsabilidades de cada miembro de la plantilla.

El motivo para implantar una metodología es dar un servicio de calidad sin costes desmesurados, y que sea del agrado del cliente. Se trata de que cada miembro de la organización tenga muy definidas sus funciones y sea capaz de tomar las decisiones acertadas en cada momento y ante cualquier situación.

Un ejemplo de una buena práctica a la hora de que los clientes contacten con la empresa es disponer de varios métodos, por ejemplo vía telefónica, presencial y por mail. Y a poder ser que cada motivo de contacto sea atendido por el personal cualificado para atender las necesidades del cliente. Volvamos a poner un ejemplo, el del mail que cada día gana más adeptos a esta forma de contacto, si una empresa tiene un buzón y recibe allí mezclado las reclamaciones, sugerencias, pedidos e información de incidencias; la persona que lee el correo seguramente no estará especializada en todos los campos, y por lo tanto no podrá dar una respuesta que satisfaga al cliente, o por el contrario tendrá que hacer una clasificación para derivarlo al departamento correspondiente, con lo que estamos desperdiciando tiempo, recursos y aumentando el coste del servicio… Por eso es necesario tener un buzón para cada tipo de recepción, por ejemplo uno para incidencias, otro para sugerencias…, de manera que ya encaucemos el problema al departamento encargado de gestionar ese tipo de comunicación. De esta forma también se facilita la toma de métricas que a su vez, favorecen el estudio de satisfacción del cliente y de los problemas y soluciones a adoptar, con lo que podemos establecer soluciones tempranas y evitar que se produzcan incidencias de mayor gravedad para la continuidad del negocio o la rentabilidad del servicio.

Se trata de establecer sistemas de mejora continua y una estrategia de negocio, cuyo único fin es la mejora de la imagen y el buen funcionamiento de la empresa. Siempre con vistas a las necesidades de la empresa y sus clientes, a aumentar la calidad de los servicios enfocados a la tecnología de la información, y reduciendo costes superfluos que se generan por una mala gestión.

En el grafico (mapa conceptual) intento describir a grandes rasgos los procesos más importantes, pero a la hora de adaptarlo a la empresa sería necesario utilizar los modelos ya existentes, los cuales evitare nombrar puesto que son marcas registradas y propiedad de sus titulares. Si desean más información recomiendo una visita a la web de INTECO.