Ciberseguridad Esencial para Pequeñas Empresas, Explicado Sin Rodeos

La mayoría de las pequeñas empresas no necesitan un centro de operaciones de seguridad. Necesitan cinco cosas hechas correctamente y prueba de que las hicieron. Ese es el concepto completo detrás de Cyber Essentials, el esquema de certificación respaldado por el gobierno del Reino Unido ejecutado a través del IASME Consortium en nombre del NCSC. Es económico, se auto-evalúa en el nivel básico, y se asigna directamente a los ataques que realmente afectan a las pequeñas organizaciones: phishing, robo de credenciales, software sin parches y firewalls mal configurados.

Los cinco controles, sin relleno

Cyber Essentials verifica exactamente cinco áreas técnicas, y el cuestionario está construido alrededor de ellas.

• Firewalls y routers — los dispositivos de frontera deben tener las contraseñas predeterminadas cambiadas y los servicios innecesarios desactivados.
• Configuración segura — sin cuentas de administrador predeterminadas activas, sin software no utilizado en las máquinas, y las características de ejecución automática desactivadas donde permitian que el malware se ejecute sin hacer clic.
• Control de acceso de usuarios — las cuentas deben seguir el principio de menor privilegio, los derechos de administrador están separados de las cuentas del día a día, y hay un proceso para eliminar el acceso cuando alguien se va.
• Protección contra malware — cada dispositivo necesita software anti-malware, listas blancas de aplicaciones o aislamiento, aplicado consistentemente, no solo en las máquinas que alguien recordó configurar.
• Gestión de actualizaciones de seguridad — los parches para vulnerabilidades altas o críticas deben aplicarse dentro de 14 días desde el lanzamiento, en sistemas operativos, navegadores y cualquier aplicación instalada que use el negocio.

Ese período de 14 días para parches es el que más confunde a la gente. No es