La mayoría de las oficinas pequeñas no son pirateadas por atacantes genios. Se deben a una contraseña reutilizada, una actualización que nadie instaló o una copia de seguridad que nadie probó. Esta es la breve lista de elementos esenciales que bloquean los ataques que realmente ocurren, en el orden en que los aplicaría un ingeniero de TI.
Los consejos de seguridad suelen llegar como una aterradora lista de cincuenta productos. La verdad es más tranquila. La gran mayoría de los incidentes reales de oficinas pequeñas que se investigan cada año se remontan a un puñado de fallos básicos: se utiliza una contraseña en todas partes, no hay un segundo factor, actualizaciones pendientes, copias de seguridad que nunca se probaron para restaurarlas y todos trabajan como administradores. Si arregla esos cinco correctamente, habrá hecho más por la seguridad de su oficina que cualquier herramienta costosa comprada antes. Esta guía recorre lo esencial en orden de prioridad, con notas honestas sobre qué es gratis, qué vale la pena pagar y qué es principalmente marketing. Para ver el tutorial completo, mire el video de Conceptos básicos de seguridad de TI que aparece arriba.
El hábito más dañino en las oficinas pequeñas es compartir una contraseña en el correo electrónico, la contabilidad y la banca. Cuando se filtra un sitio, los atacantes prueban la misma contraseña en todas partes en cuestión de horas. La solución no son trucos de memoria, sino un administrador de contraseñas en cada escritorio y teléfono, de modo que cada cuenta obtiene una contraseña larga y única que nadie tiene que recordar.
Comience con las cuentas que pueden restablecer todo lo demás: primero el correo electrónico, luego la banca y el paquete de contabilidad. La guía dedicada a contraseñas y MFA de esta serie cubre la implementación en detalle.
La autenticación multifactor significa que una contraseña robada por sí sola ya no es suficiente. Un atacante en otro país con su contraseña aún no puede ingresar sin el código de su teléfono. Microsoft y Google han informado durante años que MFA bloquea la inmensa mayoría de los ataques automatizados de apropiación de cuentas.
Sea honesto con el personal: MFA agrega diez segundos al iniciar sesión. Ésa es la seguridad más barata que jamás comprará su oficina. Prefiere una aplicación de autenticación a los códigos SMS, porque los SMS se pueden interceptar y las SIM se pueden intercambiar.
La mayoría de los ataques de ransomware y gusanos se propagan a través de fallas que se corrigieron semanas antes. Las oficinas que se ven afectadas son aquellas en las que Windows Update muestra una advertencia roja durante meses. Establezca una disciplina simple: las actualizaciones se instalan automáticamente, las máquinas se reinician al menos una vez por semana y una persona designada verifica el estado de las actualizaciones mensualmente.
La misma regla se aplica al enrutador, el NAS, los navegadores y el software de contabilidad. El firmware del enrutador de la oficina es el elemento que más comúnmente se olvida en todo el edificio.
Una copia de seguridad que nunca has restaurado es una esperanza, no una copia de seguridad. Las unidades fallan silenciosamente, las tareas dejan de ejecutarse y el ransomware busca deliberadamente copias de seguridad. Mantenga al menos una copia fuera de línea o fuera del sitio a la que una infección de red no pueda llegar y, una vez por trimestre, restaure algunos archivos reales para demostrar que toda la cadena funciona.
La prueba de restauración es el control. Si toma una idea de toda esta guía, tómela: los mensajes de éxito de la copia de seguridad no prueban nada, un archivo restaurado lo prueba todo.
El privilegio mínimo suena técnico; en realidad es sólo una limpieza ordenada. El PC de recepción no necesita la contraseña de administrador del servidor. Un miembro del personal que se fue en marzo no debería tener un inicio de sesión funcional en octubre. El trabajo diario debe realizarse desde cuentas estándar, con derechos de administrador mantenidos en una cuenta separada que se usa solo al instalar o cambiar algo.
Cuando alguien se vaya, desactive sus cuentas el mismo día: correo electrónico, inicio de sesión en la PC, contabilidad, todo. La revocación que espera un momento conveniente suele esperar eternamente.
Calificación honesta: la mayor parte de esta lista no cuesta nada. Windows Defender, el firewall de Windows, las actualizaciones automáticas, BitLocker en las ediciones compatibles y MFA en sus cuentas existentes ya están en desarrollo. Gaste dinero solo donde se detiene lo gratuito: una suscripción al administrador de contraseñas para el equipo, una copia de seguridad externa y, solo después de que se cumplan los conceptos básicos, protección paga de punto final si su riesgo o el contrato de un cliente lo exige.
Cualquier proveedor que quiera venderle una plataforma de amenazas avanzada antes de ordenar sus contraseñas y copias de seguridad está vendiendo en el orden incorrecto.
Cada elemento esencial de esta guía se explica con pleno conocimiento e instalación en el vídeo IT Security Essentials.
Watch Full VideoAsegure las cuentas de correo electrónico. El correo electrónico restablece todas las demás contraseñas, por lo que un buzón de correo controlado se convierte silenciosamente en todas las cuentas. Proporcione al correo electrónico una contraseña única almacenada en un administrador de contraseñas y active MFA. Ese único movimiento cierra la puerta utilizada en la mayoría de las adquisiciones de oficinas pequeñas.
Para la mayoría de las oficinas pequeñas, un Defender completamente actualizado en un Windows completamente actualizado es una base razonable. Las herramientas pagas para terminales agregan administración central, informes y capas adicionales que importan a medida que crece o cuando los clientes las exigen. Lo que nunca funciona es un antivirus en una máquina sin parches y con contraseñas compartidas; primero arregle lo esencial.
Comience desde cero: actualizaciones, firewall, Defender, BitLocker y MFA están integrados. El primer gasto real suele ser un administrador de contraseñas del equipo y una copia de seguridad fuera del sitio o fuera de línea: cantidades mensuales modestas. Las herramientas más grandes ganan su lugar después de que esos conceptos básicos estén implementados y verificados.