Ciberseguridad para pequeñas empresas: por dónde empezar

Un equipo pequeño puede comenzar enumerando los servicios que controlan los pagos, el correo electrónico, la información del cliente y el sitio web. Registre la persona responsable y el método de recuperación aprobado para cada uno. Una cuenta que queda bajo el control de un ex empleado puede crear un riesgo operativo incluso sin un ataque sofisticado. Utilice el inventario para identificar la falta de propiedad y acceso que es más amplio que las responsabilidades actuales de una persona. No ponga contraseñas en el inventario en sí.

Discuta la autenticación multifactor apropiada, las credenciales únicas y las actualizaciones oportunas con su proveedor de soporte técnico. El personal necesita una forma confiable de reportar mensajes sospechosos sin ser penalizado por preguntar. Establezca un procedimiento de verificación separado para los cambios en los detalles de pago; un correo electrónico de aspecto familiar por sí solo no debe resolver la cuestión. Adaptar los controles a los sistemas realmente utilizados, y mantener un registro de las acciones realizadas en lugar de tratar una herramienta de seguridad comprada como todo el programa.

Para un minorista hipotético, perder el acceso a los registros de inventario y pedidos podría evitar el cumplimiento. Identifique una copia de seguridad y compruebe si una persona autorizada puede restaurar la información de muestra utilizable en un entorno controlado. Registre lo que se restauró, cuánto tiempo tardó y lo que quedó perdido. Una notificación de copia de seguridad prueba que un trabajo reportado como completado; no prueba por sí mismo que el proceso de recuperación funcione. Evite realizar cambios destructivos en los registros de clientes en vivo durante una prueba.

Sepa a quién contactar para sus servicios de alojamiento, pago, correo electrónico y TI. Definir quién puede suspender el acceso, preservar los registros relevantes y comunicarse con los clientes. Las obligaciones legales después de un incidente dependen de la información y la jurisdicción, así que busque orientación calificada para el evento real. El NIST proporciona recursos públicos de ciberseguridad para pequeñas empresas. Esta lista de verificación del propietario es un punto de partida para la discusión y verificación, no una certificación de seguridad o garantía de que los incidentes no pueden suceder.

Pídale a la persona responsable que muestre los cambios de acceso completados, un registro de actualización reciente y el resultado de una prueba de recuperación. Mantenga visibles las acciones no resueltas con fechas de vencimiento. Confirme que el personal anterior ya no tenga acceso y que una copia de seguridad autorizada pueda obtener soporte. No confíe en el propietario de una cuenta diciendo que todo es seguro sin explicar el alcance de esa declaración. Si se necesita un trabajo especializado, defina el sistema y la evidencia esperada en el compromiso. El progreso debe medirse mediante controles verificados, no por el tamaño de una lista de verificación.