Nos dijeron "necesitan seguridad de la información": en una empresa de 10 personas, ¿por dónde empezamos?

El cifrado de disco debe ser el primer paso. Activa el cifrado nativo en todos los portátiles de la oficina. Si a un empleado se le olvida el equipo en una cafetería, los datos y contratos quedan protegidos. Además, bloquea el uso de memorias USB mediante directivas de grupo; es gratis y frena la mitad de las fugas desde el principio.

Revisa bien el formulario que envió el cliente. Muchas corporaciones envían cuestionarios de seguridad estándar a todo el mundo por igual. Muchos puntos se pueden flexibilizar para proveedores pequeños. Antes de gastar los 100.000 rublos pregunta al responsable de compras cuáles requisitos son obligatorios y cuáles son simples recomendaciones.

El año pasado pasamos por lo mismo con nuestro equipo de 12 personas. Pagamos 70.000 rublos a un consultor externo para que nos armara una matriz de accesos básica, autenticación de dos factores y una hoja de instrucciones para los empleados. El cliente grande dio el visto bueno al ver el documento y las capturas de pantalla de la implementación.

Lo primero que tienen que hacer el lunes es implementar un gestor de contraseñas. Impidan que los empleados entren a los paneles compartidos con claves simples o guardadas en el navegador. Establezcan la regla de usar contraseñas complejas y cambiarlas cada tres meses.

¿Su cliente es una institución estatal o del sector privado? Si van a conectarse por API a una base de datos privada con datos personales, ¿no estará exigiendo la normativa licencias de software de seguridad locales o certificaciones específicas?

Que no les dé miedo para nada. A nosotros cuando nos lo dijeron la primera vez pensamos que nos haría falta gastar cientos de miles de rublos en servidores y hardware. En realidad el tema pasa más por la disciplina en la oficina que por aparatos técnicos. El solo hecho de fijar reglas como que cada uno use su cuenta y que nadie deje la pantalla desbloqueada al levantarse te protege de muchísimos riesgos.

q no quede ni una sola cuenta de mail sin verificacion en dos paasos pero bueno el verdadero miedo del cliente es q si le hackean el mail a un empleado tuyo les metan un ataque de phishing a su red interna desde ahi. cierren eso y lo demas se arregla facil.

La solicitud de seguridad de la información por parte de las grandes empresas suele derivarse de sus procedimientos de gestión de riesgos de terceros. En la política de seguridad de la información que elaboren, se debe detallar claramente en puntos cómo se procesan los datos, dónde se almacenan, quiénes tienen acceso y cómo se ejecutan los procesos de destrucción de datos.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Que todo el mundo haga algo no significa que sea lo correcto.

Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar. Ánimo.

La respuesta de arriba ha dado en el clavo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Comprobado por experiencia.

Exacto, y encima no es tan conocido. Lo importante no es la cifra, sino en qué se basa esa cifra.

Si no lo pones por escrito desde el principio, luego surgen discusiones. También me gustaría saber si alguien lo hace de otra manera.

Me pasó lo mismo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si tenéis dudas, escribid os responderé en la medida de lo posible.

Voy a contar mi experiencia. El error cometido por seguridad de la informacion en empresas suele ser reversible, pero caro.

Yo seguiría por ese camino.

hace mucho que oímos eso, pero a nosotros nunca nos pasó así luego bueno todos los que se apresuran con seguridad de la informacion en empresas se atascan en el mismo punto.

si escribís el resultado aquí, tabmién servirá de ayuda a otros.

Gracias por escribir. La respuesta varía mucho según el sector no hay una regla general.

Por supuesto, cambia si tu situación es diferente.

estoy en la misma situación, por eso pregunto... la respuesta varía mucho según el sector no hay una regla general.

comprobado por experiencia.

Separemos los conceptos, se están confundiendo. Si el camino de la notificación es largo la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Corrijanme si me equivoco.

Aquí hay que hacer una distinción. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Ánimo.