¿Qué es exactamente la superficie de ataque y por dónde debería empezar a reducirla una empresa pequeña?

Dejar el protocolo de escritorio remoto (RDP) expuesto directamente a internet es la causa principal de brechas en pequeñas empresas. Los bots de escaneo automatizado buscan puertos abiertos continuamente y prueban durante días para romper contraseñas débiles. El aviso del auditor es, sin duda, por ese puerto.

Lo más rápido que podéis hacer ahora mismo: llamad a la empresa informática a la que pagáis el mantenimiento anual y pedidles que hagan un escaneo de puertos desde fuera a vuestra IP pública. Exigidles que cierren cualquier puerta abierta expuesta a internet y metan el acceso remoto detrás de una VPN.

Nosotros tmb usamos escritorio remoto directo pa q la gente se conecte de casa. la verdad ¿meter VPN exige licencias caras o es un ajuste q ya viene en el propio router/firewall?

La mayoría de los modems y routers corporativos actuales tienen función de servidor VPN integrada. La empresa de TI que les da soporte se lo puede configurar en unas pocas horas sin necesidad de comprar hardware adicional. Si entra dentro de su contrato, no debería suponer un gasto extra.

Nosotros hicimos un escaneo similar en nuestra consultora de 15 personas. Salieron 6 puertos innecesarios abiertos al exterior, 3 cuentas antiguas de becarios y un dispositivo de almacenamiento en red sin actualizar. Limpiar todo esto le llevó media jornada a nuestro informático y redujo de forma considerable nuestro riesgo de ataque.

Mencionó que los empleados miran el correo de la empresa desde sus propios teléfonos. ¿Existe la obligación de tener bloqueo de pantalla en esos dispositivos o pueden borrar remotamente la cuenta de la empresa si roban el teléfono? La seguridad física de los dispositivos también es parte fundamental de la superficie de ataque.

En resumen, la superficie de ataque son todos los puntos de entrada de su oficina expuestos a internet. Cerrar el puerto RDP y configurar una VPN, exigir la verificación en dos pasos y eliminar las cuentas innecesarias reduce esta superficie a un nivel seguro en muy poco tiempo.

Buen trabajo.

A nosotros también nos pasa.

Es correcto en general, pero falta un detalle. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Espero que le sea útil.

Perdona, pero esto no es válido en todos los casos. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. Corrijanme si me equivoco.

Tiene razón. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Por supuesto cambia si tu situación es diferente.

a mí me pasó justo al revés, por eso escribo. no confíes en una sola medida; ve capa por capa.

yo seguirría por ese camino.

La discusión se ha dispersado, voy a ordenarla. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Comprobado por experiencia.

Voy a contar mi experiencia. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. Lo dejo como nota, por si sirve.

Hace dos años viví exactamente lo mismo. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Esto también tiene su parte de medición. Lo importante no es la cifra, sino en qué se basa esa cifra.

Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Me pasó lo mismo.