Un lunes cualquiera en el trabajo. Llevas más de cinco horas sentado y decides ir al baño, aunque sea para pasearte, cuando llegas miras el suelo como por casualidad y te encuentras un pen-drive que alguien ha perdido. Lo recoges y vuelves a tu sitio.
¿Cuál sería tu primer impulso?
Pinchas el lápiz de memoria en el ordenador y miras qué archivos tiene, para averiguar a quién pertenece o, simplemente, por la curiosidad innata del ser humano. Y cuando lo pinchas encuentras una carpeta. «Fotos». ¡Qué interesante! Abres el archivo.
Ya está.
El virus se ha introducido en tu ordenador de trabajo, que conectado en red con el resto de ordenadores de la empresa empieza un lento pero incansable proceso de ‘colonización’. Poco a poco va infectando la intranet hasta llegar a la información que busca, puede tardar un mes o un año, pero una vez que encuentra lo que necesita, las patentes, el software, los planes de negocio o de inversión de tu empresa estarán a disposición del mejor postor en algún rincón de la ‘deep-web’. La zona más oscura de Internet, en la que se puede encontrar de todo, desde prostitución hasta propaganda del Estado Islámico.
¿Pero esto ocurre?
Parece ciencia ficción o una peli mala de hackers, pero lo cierto es que este tipo de ataques ocurren cada día a las empresas españolas. Ya sea a través de un troyano escondido en un pen-drive olvidado, un e-mail con apariencia confiable- como las famosas facturas falsas de Endesa– o un ordenador de trabajo conectado a una wifi libre en un Starbucks.
Cuando pensamos en ciberseguridad, dice Pablo López, del Centro Criptológico Nacional (CCN), dependiente del CNI, pensamos en espionaje internacional, en países enemigos, en la CIA y en las películas de James Bond. Sin embargo, explica, las empresas están expuestas a ataques de la competencia dentro del mismo sector; firmas que pelean por la misma adjudicación- le ocurrió a las empresas españolas en el concurso por el Canal de Panamá-; ciberactivistas, como Anonymus, que atacan a bancos y multinacionales siguiendo una ideología; o simplemente «secuestradores» que bloquean nuestros archivos y piden un rescate en bitcoins.
[Lee Aquí, ¿Quién puede querer robar la información de mi empresa?]
Según explica José M. Rosell, director de S2 Grupo, una empresa valenciana ofrece servicios de ciberseguridad a grandes empresas como Gas Natural o Bankia, estos ataques ocurren cada día y seguirán aumentando de forma exponencial. «Ahora estamos conectados a través del ordenador, del smartphone y la tablet, pero dentro de muy poco estaremos conectados a través del reloj, las gafas, la televisión, el coche o las casas inteligentes», explica Rosell, que añade que la ciberseguridad no está solo en el ámbito empresarial, sino que nos afecta a nosotros y a nuestras familias personalmente.
¿Cómo puedo proteger mi empresa?
Los empleados son el eslabón más débil de la cadena de protección online. Todos los expertos presentes en el coloquio sobre ciberseguridad organizado por la fundación Conexus, coincidían en que la concienciación de los empleados y sus familias es primordial para proteger una empresa.
«Dejamos alrededor de 100 pen-drives infectados en las instalaciones de la empresa, nadie los devolvió y el 90% los introdujeron en los ordenadores corporativos», explicaba el responsable de tecnología y seguridad de Gas Natural, José Luis Bolaños.
Trabajar específicamente con las áreas más sensibles como la elaboración de proyectos o los directivos es también imprescindible, explica Bolaños.
Las empresas con importancia estratégica, como gasísticas, eléctricas, constructoras o entidades bancarias, son las más propensas a recibir estos ataques, pero no son las únicas. Las filtraciones están a la orden del día, desde los recientes Papeles de Panamá, hasta la filtración de cargos y nombres de miembros de la Policía Nacional en España.
Por eso, Bolaños asegura que la cadena de seguridad debe abarcar todos los ámbitos: empleados, desarrollo de proyecto, colaboradoras, subcontratas, sindicatos y cualquier entidad que tenga acceso a información sensible.
Instalar un software de seguridad es imprescindible, sin embargo, también lo es informar y prevenir a los directivos y los empleados de la importancia de la seguridad online, desde las cosas más básicas como utilizar contraseñas diferentes, hasta detectar emails infectados o saber cómo proceder en caso de detectar una intrusión.
No es una tarea exclusiva del departamento informático, concluye Bolaños, hay que implicar a toda la empresa.