Índice de contenidos
Garantizar la seguridad del software empresarial es imprescindible para evitar fraudes, brechas de información y otra clase de ciberataques que dañen las finanzas y operatividad de los negocios
Un 60% de los programas que emplean las empresas no están controlados por sus equipos de IT (Tecnología de la Información) y no se incluyen en las evaluaciones de seguridad ni se tienen en cuenta a la hora de diseñar las políticas de ciberseguridad. Así lo ha determinado un reciente estudio que pone el foco en la seguridad del software empresarial y la necesidad de garantizarla para evitar ciberataques contra negocios que se salden con:
- Pérdidas económicas directas.
- Afectación de la continuidad de negocio y pérdidas económicas indirectas.
- Sanciones en materia de protección de datos.
- Conflictos legales.
- Daños reputacionales.
La mayoría de programas empresariales, como un software de gestión, cuentan con mecanismos propios de seguridad como la exigencia de un doble factor de autenticación para acceder a ellos, la realización automática de copias de seguridad o el establecimiento de un sistema de permisos de seguridad dentro de cada empresa.
Sin embargo, algunos negocios no hacen uso de estas medidas de seguridad ni tienen en cuenta todos los programas y aplicaciones usados por sus trabajadores a la hora de diseñar sus estrategias de ciberseguridad.
A continuación, te vamos a contar por qué es peligroso no garantizar la seguridad del software empresarial y de qué manera se puede salvaguardar estos activos esenciales para los negocios.
Los ataques que buscan cercenar la seguridad del software empresarial van en aumento
Los delincuentes han puesto en su punto de mira a los programas usados por las empresas y desarrollan constantemente técnicas, tácticas y procedimientos para poner en jaque la seguridad del software empresarial. ¿Por qué?
- Una gran parte del tejido productivo no puede realizar sus actividades sin programas y aplicaciones críticos: software CRM, programas de facturación, gestores de correos electrónicos, herramientas de organización logística o control de stock, software de gestión… ¿Cómo trabaja una asesoría si no puede usar las soluciones que emplea para realizar la contabilidad de sus clientes? ¿Y una clínica médica que no puede acceder al programa en el que gestiona los historiales de sus pacientes?
- Si los delincuentes consiguen paralizar el uso de los programas empresariales, pueden exigir cuantiosos rescates, ya que las empresas están desesperadas por recuperar la normalidad.
- El software empresarial contiene información fundamental para cualquier empresa: datos de clientes, trabajadores y proveedores; información confidencial y estratégica; datos sobre sus finanzas, etc. Este caudal de información puede emplearse para:
- Extorsionar a los negocios.
- Ganar dinero directamente vendiendo información de gran valor a la competencia.
- Comercializar los datos de clientes o trabajadores en la Dark Web para cometer fraudes digitales contra ellos.
Existen paquetes de ataque dirigidos expresamente a los programas empresariales más conocidos del mundo
De hecho, las crecientes amenazas a la seguridad del software empresarial van ligadas, en muchos casos, a la paquetización de los ataques y a la consolidación del modelo criminal de Ransomware-as-a-Services (RaaS) o Phishing-as-a-Service (PaaS). ¿De qué estamos hablando?
- Varios grupos delictivos ofrecen a delincuentes sin conocimientos avanzados ni recursos, paquetes de ataques contra programas empresariales de uso masivo como Microsoft365 o Google WorkSpace.
- De esta forma, miles de actores maliciosos pueden lanzar ataques contra empresas que usan estos software.
- Los paquetes incluyen:
- Ransomware específico para secuestrar los datos de los programas.
- Recursos para lanzar campañas de ingeniería social contra los trabajadores de las empresas: correos electrónicos que aparentan ser reales, páginas de login fake para que las víctimas introduzcan sus credenciales de acceso…
- Mecanismos para sortear la doble autenticación y poder entrar a las cuentas corporativas.
- Servidores.
- Paneles para controlar la evolución de los ataques e, incluso, negociar con las víctimas el pago de rescates.
- De esta forma, los grupos delictivos logran expandir su radio de acción y monetizar sus estrategias de ataque. ¿Cómo? Las actores maliciosos pagan una cuota para usar los Ransomware-as-a-Services y abonan a los grupos que los dirigen una parte de las ganancias que cosechan con el pago de los rescates por parte de las empresas.
El 50% de los trabajadores tienen privilegios excesivos y eso amenaza la seguridad del software empresarial
Al empuje de los delincuentes debemos sumar otro factor de riesgo para la seguridad del software empresarial: como los equipos de IT no controlan muchos programas, los trabajadores pueden tener permisos excesivos en ellos.
El mismo estudio al que hicimos referencia al inicio de este artículo, señala que el 50% de los profesionales tienen cuentas de usuarios en programas corporativos con permisos que no necesitan para desempeñar sus funciones.
¿Por qué se trata de un grave problema para la seguridad del software empresarial y de los negocios en sí mismos? Si la cuenta de un trabajador es vulnerada con éxito, los delincuentes podrían acceder a información que no debería estar en su poder y causar un daño mayúsculo al negocio.
Por ejemplo, pensemos en un profesional administrativo de un despacho de abogados. No se le han concedido permisos mínimos dentro del programa de gestión de la firma. Un delincuente logra engañarlo gracias a un ataque de phishing y consigue sus credenciales de acceso al programa. Dentro de él puede crear nuevos usuarios, eliminar usuarios existentes, acceder a información y documentación de todos los expedientes de la firma, exportar archivos, modificarlos, etc. Los daños para el despacho y su credibilidad ante sus clientes pueden ser incalculables. Todo ello se podría haber evitado si el profesional tuviese un nivel de permisos mínimo que le permitiese únicamente llevar a cabo sus tareas diarias.
Por eso, es fundamental que los equipos de IT de las empresas o el profesional a cargo de sus sistemas informáticos tengan un conocimiento preciso de la infraestructura tecnológica del negocio, sepan con precisión qué programas se emplean y lleven un control de las cuentas de usuario de los profesionales en dichos software.
Solo así se puede aplicar eficazmente una política de privilegios mínimos y lograr fortalecer la seguridad del software empresarial y de la información almacenada en él.
Auditorías continuas y protocolos de uso: Cómo garantizar la seguridad del software empresarial
Más allá del control de los privilegios y permisos de seguridad de las cuentas de los usuarios, es imprescindible que los departamentos de IT tengan un listado de los programas usados por los negocios para:
- Incluirlos en las auditorías de seguridad continuas que deben realizar las empresas de cara a detectar incidentes de seguridad o vulnerabilidades explotables por los delincuentes.
- Diseñar las políticas de uso de los programas y dispositivos informáticos de las empresas. De cara a que los trabajadores sepan cómo deben usar el software con el que trabajan y los equipos corporativos. Esto es fundamental para prevenir los ataques de ingeniería social y evitar los fraudes bancarios a empresas y otra clase de incidentes de seguridad.
Estas medidas son esenciales a la hora de incrementar la seguridad del software empresarial, prevenir los ataques y minimizar su impacto.
El uso de soluciones de IA sin control supone una amenaza para las empresas
A todo lo que hemos señalado debemos sumar que no solo está en riesgo la seguridad del software empresarial tradicional, sino también el uso seguro de aplicaciones de IA. ¿Por qué? La mayoría de los responsables de IT de las empresas no tienen un control sobre qué sistemas de IA generativa emplean los profesionales y qué uso hacen de ellos.
A nadie se le escapa que la implosión de la Inteligencia Artificial ha provocado que gran parte del tejido productivo incorpore el uso de herramientas de IA en su día a día. De hecho, los delincuentes son muy conscientes de este cambio de paradigma y ya existen ataques específicos para lograr sustraer datos de los negocios que estos facilitan a los sistemas de IA.
Por eso, a la hora de trabajar con la IA también es importante monitorizar las cuentas de los trabajadores y establecer una serie de buenas prácticas que sirvan para proteger a los negocios y a su información.
En definitiva, la seguridad del software empresarial es una cuestión crítica y estratégica para los negocios. Puesto que la gran mayoría de las empresas y los profesionales emplean programas informáticos y aplicaciones para prestar sus servicios y atender a sus clientes. Tomarse en serio la protección de los software empresariales es imprescindible. Para ello:
- Los responsables de gestionar los sistemas de la empresa deben tener un control total de las cuentas de los profesionales en programas informáticos.
- Se deben emplear todos los mecanismos de seguridad que traen incorporados los software empresariales, como la autenticación multifactor o el establecimiento de permisos de seguridad, en función del rol que juega cada usuario en una organización.