Un colaborador hace clic en un enlace falso de restablecimiento de contraseña un viernes a las 17 h. El lunes por la mañana, el servidor de archivos es cifrado por un ransomware, el correo electrónico está fuera de servicio y nadie sabe si la última copia de seguridad funciona.
Este escenario afecta a empresas de todos los tamaños, y la respuesta no se limita a instalar un antivirus. Reforzar la seguridad digital de su empresa en 2024 pasa por decisiones técnicas precisas, una organización probada y una verdadera disciplina en los accesos.
Passkeys y autenticación resistente al phishing
El phishing sigue siendo el principal vector de entrada de ataques significativos contra las empresas francesas. Las campañas ya no se limitan a los correos electrónicos: SMS, llamadas telefónicas, falsos portales de inicio de sesión en móviles multiplican las superficies de exposición. Ante este hecho, la simple combinación de usuario-contraseña ya no es suficiente, incluso con un segundo factor por SMS.
Las passkeys cambian las reglas del juego. Basadas en criptografía asimétrica, eliminan la contraseña transmisible y hacen que el phishing clásico sea inoperante. Se distinguen dos categorías según el nivel de seguridad buscado.
- Las passkeys sincronizadas se replican entre los dispositivos de un mismo ecosistema (Apple, Google, gestor de contraseñas). Prácticas para un uso cotidiano, son adecuadas para aplicaciones empresariales estándar.
- Las passkeys vinculadas al dispositivo (device-bound) permanecen almacenadas en un token hardware o un módulo de seguridad integrado. Ofrecen un nivel de seguridad superior para accesos críticos: consolas de administración, VPN, bases de datos sensibles.
- La elección entre las dos depende del riesgo asociado a cada recurso. Mezclar ambas en una misma organización no solo es posible, sino que se recomienda.
En cuanto al despliegue, se comienza por las cuentas con privilegios (administradores del sistema, responsables financieros), y luego se amplía progresivamente. Las opiniones varían sobre la facilidad de adopción según los grupos de edad y los hábitos digitales, pero la curva de aprendizaje sigue siendo corta tan pronto como existe un acompañamiento interno.
Para profundizar en los desafíos de protección de los sistemas de información, los recursos disponibles en la sección de seguridad de Open Syd permiten comprender mejor las soluciones adecuadas para las pymes.
Registro y prueba: lo que las autoridades esperan después de un incidente
Muchas empresas invierten en prevención y descuidan totalmente la trazabilidad. Las autoridades francesas, encabezadas por la CNIL, insisten ahora en la combinación MFA, registro y control de accesos remotos como base de prueba en caso de incidente. Sin estos elementos, una empresa víctima de un ciberataque corre el riesgo no solo de sufrir daños operativos, sino también de una sanción por falta de medidas de seguridad adecuadas.
Concretamente, registrar significa grabar las conexiones, los intentos de acceso fallidos, las modificaciones de derechos y las transferencias de archivos grandes. Estos registros deben estar sellados con fecha, conservarse durante un período coherente con la normativa y almacenarse en un espacio separado del sistema supervisado.
Establecer un registro utilizable
Un registro de conexiones que genera miles de líneas sin que se sepa cómo leerlas no tiene ninguna utilidad. Primero se definen los eventos a capturar: autenticaciones, escaladas de privilegios, accesos a datos personales. Luego se configuran alertas sobre comportamientos anormales (conexión desde un país inusual, acceso a las 3 de la mañana en un puesto normalmente utilizado durante el día).
El dimensionamiento del almacenamiento y la duración de retención dependen del sector y del volumen de datos tratados. Centralizar los registros en un servidor dedicado o un servicio externalizado evita que un atacante borre sus huellas comprometiendo la máquina objetivo.
Copias de seguridad probadas y plan de respuesta a incidentes
La mayoría de las empresas afirman hacer copias de seguridad. Muy pocas prueban regularmente la restauración. La diferencia entre ambas se mide el día en que un ransomware cifra el servidor principal.
La CNIL recomienda explícitamente copias de seguridad almacenadas fuera de la red de la empresa, con pruebas de restauración periódicas. Un disco externo conectado permanentemente al servidor no es una copia de seguridad utilizable: será cifrado al mismo tiempo que el resto.
Organizar la respuesta antes de la crisis
Un plan de respuesta a incidentes no se redacta durante el ataque. Se prepara de antemano una ficha de referencia que cubre cuatro preguntas.
- ¿Quién toma la decisión de aislar un servidor o cortar un acceso VPN? La cadena de decisión debe ser clara, incluso en ausencia del líder.
- ¿Cómo se comunica si el correo electrónico está comprometido? Se debe definir un canal de emergencia (correo cifrado en teléfono personal, número de teléfono de guardia).
- ¿Qué proveedores llamar y en qué orden? Proveedor de alojamiento, editor del software empresarial, aseguradora cibernética, autoridades (ANSSI para los operadores afectados, CNIL si se exponen datos personales).
- ¿Dónde se encuentran las copias de seguridad y quién tiene las credenciales para acceder a ellas? Este punto parece trivial hasta que la única persona informada está de vacaciones.
Gestión de accesos remotos y segmentación de red
El teletrabajo ha multiplicado los puntos de entrada hacia los sistemas de información. Un VPN mal configurado o un acceso RDP abierto en Internet representa una puerta de entrada directa para un atacante que ha recuperado credenciales mediante phishing.
Cada acceso remoto debe pasar por un túnel cifrado con autenticación multifactor activa. Los accesos genéricos compartidos entre varias personas (una sola cuenta “admin” para todo el equipo) deben ser evitados: hacen que el registro sea inútil ya que no se puede atribuir una acción a un individuo.
Segmentar para limitar la propagación
En una red plana, un puesto comprometido da acceso a todos los recursos. Segmentar la red en zonas (puestos de trabajo, servidores empresariales, copias de seguridad, dispositivos conectados) limita la propagación lateral de un ataque. Se aplican reglas de firewall entre cada segmento para permitir solo los flujos estrictamente necesarios.
Este enfoque se alinea con los principios del modelo de confianza cero: ningún dispositivo ni usuario se considera confiable por defecto, incluso dentro de la red. La confianza se verifica en cada solicitud, no una vez por todas en el momento de la conexión VPN.
El marco regulatorio europeo se ha endurecido recientemente sobre los incidentes y la resiliencia de los productos digitales. Esperar el próximo ataque para estructurar su seguridad digital es como contratar un seguro después del incendio. Las medidas descritas aquí no requieren un presupuesto considerable, pero exigen tiempo, rigor y, sobre todo, pruebas regulares para verificar que funcionan el día en que se necesitan.
