Kit de iniciación a la ciberseguridad
La ciberseguridad no tiene por qué ser complicada. Este kit de inicio ayuda a las organizaciones sin ánimo de lucro a comprender los conceptos básicos, proteger a su personal y su información, y adoptar medidas prácticas para lograr un entorno digital más seguro.
Ciberseguridad: proteger a tu personal, tu información y tu misión
Tu organización sin ánimo de lucro ya toma decisiones relacionadas con la confianza y la seguridad: quién puede acceder a los expedientes de los clientes, quién aprueba los pagos y qué ocurre cuando un miembro del personal deja la organización. La ciberseguridad amplía esa preocupación a las herramientas digitales y a la información de la que depende tu organización.
No es necesario convertirse en un experto técnico para participar en estas decisiones. Comprender algunas ideas fundamentales puede ayudarte a plantear preguntas útiles, elegir medidas de protección prácticas y explicar tu enfoque a los donantes, al personal, a los voluntarios y a los clientes.
Empieza por donde lo dejaste
¿Qué es la ciberseguridad?
La ciberseguridad es la práctica de proteger la información digital, las cuentas, los dispositivos y los servicios frente al acceso no autorizado, el uso indebido, las interrupciones y la pérdida, el daño o la divulgación accidentales.
Para una organización sin ánimo de lucro, esto puede significar proteger los registros de los donantes, mantener la confidencialidad de la información de los clientes, evitar que alguien se apropie de tu cuenta de correo electrónico o garantizar que los archivos esenciales del programa puedan recuperarse en caso de que falle un ordenador portátil. También implica reducir la probabilidad de que se produzcan errores cotidianos, como que un voluntario bienintencionado divulgue una lista de distribución de correo electrónico o adjunte el archivo equivocado a un mensaje.
Los profesionales de la seguridad suelen mencionar tres objetivos:
Confidencialidad
Solo las personas autorizadas pueden acceder a la información.
Ejemplo para organizaciones sin ánimo de lucro: Solo el personal que necesite consultar los expedientes de los clientes puede acceder a ellos.
Integridad
La información sigue siendo correcta y se autorizan los cambios.
Ejemplo para organizaciones sin ánimo de lucro: Los datos bancarios de un proveedor no pueden modificarse sin previa verificación.
Disponibilidad
Se puede acceder a la información y a los servicios cuando sea necesario.
Ejemplo para organizaciones sin ánimo de lucro: El personal puede recuperar los archivos esenciales y seguir impartiendo los programas tras una interrupción.
¿Qué relación hay entre la ciberseguridad y la privacidad?
El servicio de seguridad pregunta: ¿Cómo protegemos esta información contra el acceso no autorizado, la pérdida o el uso indebido?
Preguntas sobre la privacidad: ¿Deberíamos recopilar estos datos personales? ¿Para qué los utilizaremos? ¿Quién los recibirá? ¿Durante cuánto tiempo deberíamos conservarlos?
Por ejemplo, un formulario de registro protegido de forma segura podría seguir recopilando más datos personales de los que necesita un programa. Las buenas prácticas en materia de privacidad ayudan a una organización a tomar decisiones adecuadas sobre la información; las buenas prácticas de seguridad ayudan a protegerla. Las directrices canadienses sobre privacidad abordan tanto el tratamiento de los datos personales como las medidas de seguridad utilizadas para protegerlos.
“ Se puede tener seguridad sin privacidad, pero no se puede tener privacidad sin seguridad.”
¿Cómo se lleva a cabo la ciberseguridad?
La ciberseguridad combina gente, procesos y tecnología:
Personas
El personal y los voluntarios saben cómo verificar las solicitudes, gestionar la información importante y comunicar cualquier problema relacionado con la ciberseguridad.
Procesos
La organización cuenta con procedimientos claros para autorizar pagos, gestionar el acceso, realizar copias de seguridad de los archivos y responder ante incidentes.
Tecnología
Herramientas y configuraciones como la autenticación multifactorial, las actualizaciones automáticas y los permisos de acceso facilitan el cumplimiento de esas rutinas.
Estas medidas de protección funcionan de forma conjunta. Una contraseña segura ayuda a proteger una cuenta; la autenticación multifactorial añade otra medida de seguridad; y un proceso de notificación claro ayuda a la organización a reaccionar si ocurre algo inusual.
La seguridad es, además, una actividad continua. Las cuentas cambian, hay personas que se incorporan y otras que se marchan, y las organizaciones adoptan nuevas herramientas. Una rutina útil consiste en identificar lo que es importante, establecer medidas de seguridad, comprobar que funcionan y adaptarlas cuando cambian las circunstancias.
Un “control de seguridad” es, sencillamente, una medida de protección que reduce el riesgo. Podría tratarse de una configuración, un procedimiento escrito o un hábito, como llamar a un contacto conocido para verificar una solicitud de cambio de datos bancarios.
Comprender el sector de la ciberseguridad
El sector de la ciberseguridad está formado por personas que diseñan sistemas seguros, gestionan riesgos, evalúan medidas de protección, forman al personal, investigan incidentes y ayudan a las organizaciones a recuperarse. Los profesionales de la privacidad se centran en gestionar la información personal de forma responsable y en cumplir con las obligaciones en materia de privacidad.
Un proveedor de servicios informáticos puede encargarse del mantenimiento de tus ordenadores y programas, mientras que un especialista en seguridad evalúa el nivel de protección de los mismos. Algunos proveedores ofrecen ambos servicios. Cuando hables de los servicios, pregunta qué está incluido, qué sigue siendo responsabilidad de tu organización y quién te ayudará si surge algún problema.
Es posible que también oigas hablar de certificaciones, normas y marcos de referencia:
Certificaciones profesionales
Una titulación que posee una persona. Por ejemplo, la certificación ’Certified in Cybersecurity» (CC) de ISC² abarca conocimientos básicos, mientras que la certificación «Certified Information Systems Security Professional» (CISSP) requiere experiencia profesional relevante.
Norma o marco
Una forma estructurada de organizar las prácticas de seguridad y evaluar las deficiencias. Estos recursos ayudan a las organizaciones a planificar mejoras.
Certificación de organizaciones
Una evaluación basada en unos requisitos específicos. Por ejemplo, la certificación ISO/IEC 27001 se refiere al sistema de gestión de la seguridad de la información de una organización.
Las acreditaciones pueden resultar útiles, pero deben valorarse junto con la experiencia pertinente, el alcance del trabajo y la capacidad del proveedor para explicar claramente sus recomendaciones. Una certificación no garantiza que nunca vaya a producirse un incidente.
No necesitas una certificación profesional para empezar a mejorar la seguridad de tu organización sin ánimo de lucro. Es posible que surjan requisitos formales derivados de contratos u otras obligaciones, pero muchas mejoras cotidianas comienzan con decisiones que tu equipo puede tomar ya mismo.
Las normas y los marcos de referencia ayudan a las organizaciones a convertir los objetivos generales de seguridad en medidas de protección concretas e identificar las deficiencias. Entre los ejemplos se incluyen las directrices básicas del Centro Canadiense de Ciberseguridad para pequeñas y medianas empresas y los Controles Críticos de Seguridad del CIS. Puedes utilizar estos recursos como guía para introducir mejoras sin necesidad de obtener una certificación oficial.
Este kit de inicio presenta medidas de protección prácticas que aparecen en las directrices de seguridad establecidas. Se trata de un punto de partida, más que de una evaluación completa según una norma concreta. A medida que evolucionen las necesidades de tu organización sin ánimo de lucro, estos recursos pueden ayudarte a decidir qué aspectos abordar a continuación.
Hablar de seguridad con confianza
Las explicaciones claras y concretas son más útiles que las promesas generales del tipo “nuestros sistemas son totalmente seguros”. Describe las prácticas que sigue realmente tu organización:
Limitamos el acceso a nuestros registros de donantes para que solo puedan consultarlos las personas que realmente los necesitan.
Si un mensaje o una solicitud te parecen sospechosos, a continuación te explicamos cómo verificarlos y cómo informar de cualquier problema.
Podemos explicarte por qué recopilamos tus datos y dónde puedes plantear tus dudas.
Utiliza estas afirmaciones únicamente cuando describan con exactitud tus prácticas. Si una medida de seguridad aún se encuentra en fase de desarrollo, explica qué aspectos estás mejorando, en lugar de dar a entender que ya está en vigor.
Sección 1: Averigua qué es lo que necesitas proteger
Antes de elegir herramientas de seguridad o modificar la configuración, haz un balance de los elementos de los que depende tu organización sin ánimo de lucro. Esto incluye la información, las cuentas, los dispositivos y los servicios, así como a las personas que dependen de ellos.
Sección 2: Decidir quién es el responsable
Una vez que sepas qué es lo que hay que proteger, decide quién tomará las decisiones, quién se encargará de actuar y quién se ocupará del seguimiento.
Sección 3: Proteger las cuentas con autenticación multifactorial
Las cuentas de tu organización sin ánimo de lucro conectan a las personas con el correo electrónico, los archivos, las finanzas y los servicios esenciales. Proteger esas cuentas ayuda a proteger todo aquello a lo que se puede acceder a través de ellas.
Sección 4: Crear contraseñas manejable
Las organizaciones sin ánimo de lucro necesitan contraseñas seguras y únicas, así como una gestión eficaz del acceso a las cuentas, para mantener la seguridad de la información y garantizar la continuidad cuando el personal está ausente o deja la organización.
Sección 5: Mantén la seguridad de los dispositivos y los accesos
Para proteger los dispositivos de tu organización sin ánimo de lucro, lo primero es comprender las funciones de seguridad integradas, por qué son importantes y quién es el responsable de garantizar que estén activadas y se mantengan en buen estado.
Sección 6: Protección de la información confidencial
Proteger la información de tu organización sin ánimo de lucro implica gestionar la forma en que se recopila, almacena, utiliza, comparte y elimina, con el fin de evitar pérdidas accidentales, la divulgación de datos o el acceso no autorizado.
Sección 7: Realizar copias de seguridad y practicar la recuperación
Las copias de seguridad ayudan a tu organización sin ánimo de lucro a recuperar información importante tras una pérdida de datos, un fallo del dispositivo o un ciberataque, al garantizar que se disponga de copias recuperables y que haya alguien responsable de restaurarlas.
Sección 8: Plantea las preguntas adecuadas a los proveedores
Proteger tu organización sin ánimo de lucro cuando utilizas servicios de terceros implica comprender las responsabilidades de cada proveedor en materia de seguridad, gestionar el acceso y la información, y saber cómo obtener asistencia cuando sea necesario.
Sección 9: Responder a los incidentes y evaluar la necesidad de notificarlos
Un plan de respuesta ante incidentes ayuda a tu organización sin ánimo de lucro a reaccionar con rapidez ante los incidentes de seguridad, ya que define las responsabilidades, los contactos clave y las medidas inmediatas que deben adoptarse para proteger a las personas y mantener las operaciones esenciales.
Sección 10: Protege a tu organización sin ánimo de lucro frente a estafas y fraudes
Esta sección se basa en las medidas de seguridad que has aprendido para ayudarte a proteger la información, las cuentas y los fondos de tu organización sin ánimo de lucro frente a los ciberdelincuentes que recurren al engaño para convencer a las personas de que realicen acciones peligrosas.
English 
French 
Chinese 
Spanish 
Ukrainian