Kit de iniciación a la ciberseguridad: Section 1
En esta sección, aprenderás a:
Averigua qué es lo que necesitas proteger
Antes de elegir herramientas de seguridad o modificar la configuración, haz un balance de los elementos de los que depende tu organización sin ánimo de lucro. Esto incluye la información, las cuentas, los dispositivos y los servicios, así como a las personas que dependen de ellos.
No es necesario realizar una evaluación técnica para empezar. Una conversación con las personas que se encargan de la gestión de tus programas, la administración, las finanzas y las comunicaciones puede revelar qué es lo más importante y dónde hay carencias.
No te limites a los ordenadores
Quizá lo primero que te venga a la mente sean tu página web y los portátiles de la oficina, pero la información importante y el acceso a ella pueden estar repartidos por muchos sitios.
Información
Expedientes de clientes, datos de donantes, solicitudes de voluntarios, nóminas, datos bancarios, documentos de subvenciones, fotografías y formularios de consentimiento
Cuentas
Correo electrónico, banca online, redes sociales, administración de sitios web, plataformas de recaudación de fondos y almacenamiento compartido en la nube
Dispositivos
Portátiles propiedad de la organización, teléfonos del personal utilizados para el trabajo, tabletas compartidas, discos duros externos y equipos utilizados por los voluntarios
Servicios
Acceso a Internet, gestión de pagos, software de contabilidad, sistemas de planificación y herramientas utilizadas para impartir programas
Información sobre el acceso y la recuperación
Cuentas de administrador, contactos para la recuperación de cuentas, códigos de recuperación de la autenticación multifactorial (MFA) y acceso al gestor de contraseñas
Incluye los dispositivos y cuentas personales cuando se utilicen para tareas de la organización. Por ejemplo, un voluntario puede gestionar tus redes sociales a través de una cuenta personal, o un miembro del personal puede guardar archivos del programa en su propio ordenador portátil. Identificar estas situaciones te ayuda a planificar las medidas de protección y el traspaso adecuadas.
Haz cuatro preguntas:
1. ¿Qué es y para qué sirve?
2. ¿Dónde está y quién puede acceder a él?
3. ¿Quién es el responsable?
4. ¿Qué pasaría si se divulgara, se modificara, se perdiera o no estuviera disponible?
Esta pregunta te ayuda a decidir qué tratar primero. Un folleto de un acto público y un expediente confidencial de un cliente requieren distintos niveles de protección.
Ten en cuenta el impacto que esto tiene en las personas
La información puede ser confidencial por lo que revela sobre una persona, no solo porque contenga un número de tarjeta de crédito o una contraseña.
La relación de un cliente con un servicio concreto, su ubicación, una fotografía o detalles sobre su situación podrían causar un perjuicio si se revelaran. Una lista de correo que quedara al descubierto podría revelar quiénes reciben ayuda de tu organización.
Pregunta:
- ¿Podría la divulgación poner en peligro la seguridad o la privacidad de alguien?
- ¿Podría la información incorrecta afectar a un pago, a una decisión sobre un servicio o al acceso de alguien a las ayudas?
- ¿Podría la pérdida de acceso interrumpir un programa esencial?
- ¿Podría utilizarse una cuenta para suplantar a tu organización o solicitar dinero?
Ten en cuenta también los incidentes fortuitos. Un archivo enviado al destinatario equivocado, una carpeta compartida de forma incorrecta o un registro sobrescrito pueden tener graves consecuencias, incluso aunque nadie tuviera la intención de causar ningún daño.
Determina cuáles son tus prioridades
No es necesario que prestes la misma atención a todos los elementos. Empieza por la información y los sistemas cuyo compromiso tendría mayores repercusiones.
Entre las prioridades comunes se incluyen:
- Datos personales sensibles, sobre todo la información relativa a clientes o personas en situaciones de vulnerabilidad.
- Cuentas y registros financieros, incluyendo operaciones bancarias, nóminas y autorizaciones de pagos.
- Correo electrónico y cuentas de administrador, lo que podría dar acceso a otras cuentas o permitir modificaciones en los sistemas de la organización.
- Información y servicios esenciales del programa, en particular los necesarios para seguir prestando asistencia.
Fíjate también en si existe dependencia de una sola persona. Si solo un voluntario puede acceder a tu página web, o si los mensajes de recuperación de cuenta se envían a un antiguo empleado, tu organización podría tener dificultades para recuperar el acceso incluso sin que se produzca un ciberataque.
Elaborar un inventario de medidas de protección
Utiliza la hoja de trabajo que aparece a continuación para anotar tus elementos más importantes. Empieza con entre cinco y diez; puedes ir ampliándola con el tiempo.
Anota dónde se gestionan las credenciales, pero no incluyas contraseñas, códigos de recuperación ni información confidencial de los clientes en esta hoja de cálculo. Limita el acceso al inventario una vez completado, ya que en él se describen los sistemas y las responsabilidades de tu organización.
Si no sabes la respuesta, escribe “por confirmar” y encarga a alguien que lo compruebe. Una pregunta sin respuesta es un hallazgo útil.
Comprueba si todavía lo necesitas
A medida que vayas elaborando el inventario, pregúntate si tu organización sigue necesitando cada cuenta, cada copia de un archivo o cada dato personal.
Una cuenta inactiva, una descarga antigua o información innecesaria suponen una tarea más que gestionar y proteger. Antes de eliminar registros, comprueba los requisitos de conservación aplicables y los compromisos de la organización. En el caso de las cuentas que cierres, confirma primero que se hayan transferido los archivos importantes, la titularidad y los servicios asociados.
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Un inventario inicial de tu información importante, cuentas, dispositivos y servicios.
- Una persona responsable para cada punto prioritario.
- Tres prioridades que hay que abordar en primer lugar.
- Una breve lista de cuestiones que requieren un seguimiento.
A continuación, convertirás esas prioridades en responsabilidades claras, para que las medidas de seguridad importantes no dependan de que cada uno dé por sentado que otra persona se encarga de ellas.
Sección 2: Decidir quién es el responsable
Una vez que sepas qué es lo que hay que proteger, decide quién tomará las decisiones, quién se encargará de actuar y quién se ocupará del seguimiento.
English 
French 
Chinese 
Spanish 
Ukrainian 