Cómo guardar los archivos y datos de tu empresa de forma segura

En los entornos empresariales, los datos y archivos que se manejan son muy importantes, no solo porque pueden contener información fiscal, propiedad intelectual, o datos de clientes, sino también porque perder este tipo de información podría resultar muy costoso o desastroso para la empresa. Por eso, aquí te damos algunos consejos para gestionar tus archivos de forma segura.

Cifrado de Datos y cifrado de tránsido: vital para evitar fugas

No solo es importante cifrar todos los datos almacenados, también es importante asegurar las transacciones de datos. Para ello, la empresa debería utilizar protocolos web basados en TLS 1.2 o 1.3, además se recomienda el uso de una VPN segura para impedir que terceros puedan acceder a estos datos.

Por supuesto, los servicios de correo electrónico y mensajería instantánea también deberían estar cifrados extremo a extremo para garantizar que las comunicaciones entre empleados o entre la empresa y los clientes también sea segura.

Como he comentado, es importante el cifrado en reposo, es decir, el cifrado de los archivos almacenados de forma local o en la nube, y usando algoritmos robustos, como AES-256 o mejores. En Windows también se pueden usar herramientas como BitLocker o LUKS en Linux. Además de eso, en la nube tienes herramientas como AWS KMS, Azure Key Vault, o Google Cloud KMS. Recuerda también que existen algunos medios de almacenamiento que soportan el cifrado por hardware, lo cual resta carga de trabajo al sistema.

También te puede interesar conocer los tipos de archivos

Control de acceso y autenticación

Por otro lado, si la empresa tiene un sistema accesible de forma presencial o de forma remota, debería garantizar unas medidas adecuadas para restringir y limitar el acceso a los datos. Para ello, se deben basar en varios principios como:

• Principio de mínimo privilegio, mientras menos privilegios tenga un usuario, menos daño podría hacer un ataque. Siempre se deben asignar permisos según el rol del usuario, y restringir acceso a datos críticos solo a personal autorizado.
• Utiliza sistemas de Autenticación Multifactor (MFA). De esa forma, si roban o rompen una contraseña, no podrán tener acceso. Para eso, puedes usar aplicaciones como Google Authenticator, Microsoft Authenticator o YubiKey.
• Gestión de Contraseñas adecuada. Aplicar políticas de contraseñas robustas: mínimo 12 caracteres, combinación de mayúsculas, minúsculas, números y símbolos. Usar gestores de contraseñas seguros (Bitwarden, 1Password, Keepass, LastPass). Y, en los casos que se pueda, implementar autenticación basada en certificados y biometría cuando sea posible, lo cual es aún más seguro.

Te puede interesar conocer qué son los metadatos de los archivos

Seguridad de infraestructura y redes

Antes hemos mostrado consejos para proteger los datos que se transmiten, los datos en reposo que se almacenan, y también el acceso. Sin embargo, los entornos empresariales tampoco deben descuidar la seguridad de la infraestructura y redes, y para ello:

• Firewalls y segmentación de red. Por ejemplo, implementar firewalls de nueva generación (NGFW). Y segmentar la red para evitar movimientos laterales en caso de intrusión, ya que pueden conseguir el acceso a un sector, pero no a todo como ocurriría si la red no está separada. Configurar reglas estrictas de acceso a servicios críticos.
• Monitorización y detección de intrusiones. Es decir, implementar SIEMs (Security Information and Event Management) como Splunk, IBM QRadar o Elastic Security. También se debe usar EDR/XDR para detectar actividad sospechosa en dispositivos. Otra forma es analizar logs en tiempo real y establecer alertas automáticas.
• Seguridad de acceso remoto. Configura Zero Trust Network Access (ZTNA). Así mismo, se necesita restringir acceso a redes corporativas solo a dispositivos de confianza, y usa protocolos de túneles cifrados en conexiones externas.

Protección contra amenazas y malware

Existen multitud de software y hardware de protección en el mercado para mantener controladas los cada vez más numerosos casos de malware (troyanos, ransomware,…) y las amenazas que cada vez son más sofisticadas y hacen perder más dinero a las empresas. Estas soluciones pasan por:

• Para endpoints y servidores, se implementan soluciones de EDR avanzados (CrowdStrike, SentinelOne, Microsoft Defender ATP).
• Vital mantener todos los sistemas actualizados con parches de seguridad automáticos.
• Filtrado de contenidos y control de navegación para evitar que empleados puedan acceder a sitios que puedan comprometer a la empresa. Para ello existen soluciones para configurar DNS Security como es Cisco Umbrella. Por ejemplo, se pueden bloquear acceso a sitios de riesgo, fraudulentos, de descargas, piratas, porno, y detectar intentos de phishing.

Copias de Seguridad Seguras

Realizar copias de seguridad es vital para no perder los datos, y también para recuperarlos en caso de ataques de malware que pueda corromper los archivos o de ransomware que cifra los datos. Para no tener pérdidas de datos vitales o pagar estorsiones para conseguir claves de cibercriminales, sigue la famosa regla 3-2-1 de backups:

• Haz 3 copias de todos los datos importantes.
• Utiliza 2 medios de almacenamiento diferentes, por ejemplo en local y otra en la nube, o en medios físicos distintos.
• Al menos 1 de las copias debe estar en un lugar diferente al resto. De esta forma, en caso de catástrofe, como un incendio en la compañía, inundación, etc., la copia que no está presente se salvará.

Por supuesto, usar cifrado en copias de seguridad, y verificar la integridad de backups regularmente, siempre tratando de elegir los medios más fiables y duraderos.

Seguridad en la nube

Si dispones de una nube gestionada por la propia compañía, también existen algunas recomendaciones:

• Configuración segura de servicios cloud implementando Identity and Access Management (IAM) con roles estrictos. También es posible usar Cloud Security Posture Management (CSPM) para detectar configuraciones erróneas.
• Auditar accesos y actividades en la nube de forma constante. Así mismo, monitorizar tráfico y detectar actividades sospechosas.
• Protección de API y servicios web, implementando autenticación con OAuth 2.0 y OpenID Connect. Y usar WAFs (Web Application Firewalls) para proteger aplicaciones web.

Gestión de incidentes y respuesta

Hasta aquí, se ha tratado de asegurar los datos y sistemas de la empresa, pero en caso de quedar comprometidos o en caso de ciberataque, la empresa siempre debe tener un plan de respuesta ante invidentes para saber cómo actuar. Esto no solo ahorra dinero devolviendo la normal actividad a la empresa cuanto antes, también puede evitar problemas futuros. Definir un plan de respuesta a incidentes implica:

1. Definir procedimientos para detección, análisis y contención de incidentes.
2. Asignar roles y responsabilidades claras en el equipo de respuesta.
3. Usar a un forense digital para analizar eventos y prevenir futuros ataques.

Para engrasar ese plan, también deberías tener presente las simulaciones y pruebas de seguridad, realizar pruebas de penetración periódicas, implementar ejercicios de Red Team y Blue Team, y evaluar regularmente la efectividad de las estrategias de seguridad. Si es necesario, rediseñar el plan…

Cumplimiento normativo

Por último, es importante que la empresa cumpla con la normativa de protección de datos de los clientes o que maneja la propia empresa. Para ello, existen auditores externos que se pueden contratar para facilitar esto, o estudiar detenidamente si se cumplen las normativas o estándares como ISO 27001, NIST, GDPR, HIPAA o PCI DSS, según la industria.

Por supuesto, sería importante documentar las políticas y procedimientos que lleva la empresa internamente, realizar auditorías para detectar vulnerabilidades o riesgos, y formar y sensibilizar al personal para evitar que caigan en tácticas de ingeniería social, etc.

¡Comenta! Si necesitas ayuda, estaremos encantados de ayudarte…