En general en la UE la inversión de la pyme en Ciberseguridad no es muy elevada pues concentran sus esfuerzos en su negocio. En cuanto a la Ciberseguridad de las pymes, en España de las micropymes sólo el 10% tiene política de seguridad según los datos del INE. Estos datos mejoran ligeramente en las empresas de mayor tamaño.
Por otra parte en Reino Unido son pioneros en la coordinación a nivel sectorial tanto para concienciar y sensibilizar a las pymes de la importancia de la Ciberseguridad como para aunar esfuerzos de cara a la resolución de incidentes. Esto contribuye a que las pymes sean más conscientes de que la pronta comunicación de los incidentes a las fuerzas del orden es clave para evitar que los ataques puedan extenderse

La regulación penal intenta estar con los tiempos pero como en todos los casos es reactiva, es decir, el legislador se da cuenta del problema, de que ocurren los delitos y es entonces cuando legisla y en este caso impone penas.

¿El delito más obsoleto? Quizá te refieres a las leyes cuya regulación es más antigua.
o La LOPD es de 1999 pero su desarrollo y actualizaciones se extienden hasta 2011 y se esperan cambios para la armonización con la legislación europea.

El fraude siempre ha existido, con o sin internet. El engaño o el timo, es el medio más fácil para obtener dinero e información desde que el mundo existe. Se aprovecha de la falta de conocimientos, la ingenuidad o la buena disposición de las personas.

Para ello desde la Oficina de Seguridad del Internauta de INICIBE (www.osi.es) tratamos de «evangelizar» a los usuarios, concienciarles y formarles para que, por ejemplo, antes de comprar verifiquen que lo hacen en un sitio web fiable.

La nube presenta servicios muy atractivos para la pyme, no sólo almacenamiento y backup, también aplicaciones de oficina, servidores de correo, alojamiento web, gestión de contactos, etc.

Además los servicios en la nube también ofrecen muchas mejoras en la seguridad si los comparamos con la opción tradicional, aunque no están exentos de riesgos y tendremos que saber cómo utilizarlos y sobre todo qué precauciones tomar al contratarlos.

El proveedor debería responder a preguntas que nos permitan asegurar las garantías de confidencialidad, integridad y disponibilidad de nuestros servicios y datos. Por ejemplo:
o ¿Es el servicio cloud portable e interoperable?, ¿qué pasa con mis datos cuando termine mi contrato o si quiero irme a otro proveedor?
o ¿Cómo aplica la legislación nacional que nos afecta, en particular la LOPD y la LSSI?
o ¿Cómo se protegen nuestros procesos y datos de los accesos lógicos y físicos no autorizados? (confidencialidad)
o ¿Cómo asegura la seguridad del software? y ¿qué software permanece bajo nuestra responsabilidad?
o ¿Qué tipo de incidentes de seguridad serán su responsabilidad? ¿Cómo podemos monitorizar el servicio, qué registros de actividad (logs) se toman y cómo podemos obtenerlos cuando necesitemos analizar un incidente?
o ¿De qué datos hace backup, dónde, con qué frecuencia?, ¿tiene algún plan de contingencia ante desastres?

En general la pyme está enfocada en su negocio, en buscar la satisfacción de su cliente, en expandir su mercado, la seguridad no es su preocupación principal, ni en España ni en el resto de Europa.

La pyme, y esto es común en Europa, sí utiliza productos antivirus, antimalware, antispam, antiphishing. También como buenas prácticas está extendido el uso de backups y de sesiones de autenticación cifradas. Como mala práctica está extendido el uso de software pirata.

Se podría decir que:
o Cuanto más pequeña menor es la probabilidad de que tengan políticas de seguridad y meno medidas de seguridad tienen implantadas
o La mayoría de las pymes no tiene políticas relativas a BYOD ni a Cloud
o La pyme no se considera objetivo de los ciberdelincuentes

La media de la inversión en Ciberseguridad es de 40€ por empleado según un informe de Kaspersky de 2014.

Quizá por esto, la concienciación está calando y la tendencia de la inversión en Ciberseguridad, en España, según indican algunos informes, es positiva.

Para que tus clientes estén seguros en tu tienda online tienes que demostrar tu compromiso con la Ciberseguridad:
o Indicar en la web cómo proteges los datos personales de tus clientes y cómo garantizas sus derechos con: aviso legal, política de cookies y condiciones contratación, (así cumples además con la LOPD y la LSSI).
o Disponer de un certificado SSL.
o Adherir sellos que ofrecen algunas organizaciones (aenor, trusted shops, confianza online,…).
o Verificar las garantías de seguridad de los medios de pago (que cumplan PCI-DSS) que incluyamos
o Auditar regularmente la web para conocer su seguridad y aplicar las medidas necesarias para evitar incidentes (actualizar regularmente el software, controlar los accesos a la web, política de contraseñas, copias de seguridad, cifrado de las comunicaciones…)
o Utilizar un proveedor de hosting confiable y exigiendo seguridad (y en particular protección de la privacidad) en el desarrollo y mantenimiento de la web si se utilizan proveedores externos.

Al igual que en el mundo físico la seguridad total no existe. No obstante para la empresa es fundamental poner todas las medidas a su alcance para evitar los posibles incidentes, o al menos los más frecuentes y aquellos cuyo impacto en el negocio sea mayor.
Los CEOs deben plantearse qué riesgos están dispuestos a asumir, cuales pueden eliminar, cuales pueden y deben abordar y cuales deciden transferir. Las auditorías van a ayudar en este punto, identificando lo que tiene valor, cómo se protege, qué incidentes pueden ocurrir y cómo evitarlos. Con ellas la dirección va a conocer la situación de Ciberseguridad de la empresa.

Los empresarios valoraran todos los aspectos que son cruciales para su negocio, lo que les permite llegar a sus clientes, y saben que deben protegerlos. Si el canal de ventas principal es su tienda online, no podrán descuidarla y tendrá que garantizar, por todos los medios, que siempre esté activa y por lo tanto su seguridad y continuidad.

Si el uso de internet es fundamental para el negocio tendrán que reservar una partida para su protección coherente con la importancia de los activos que se protegen.

Las pymes harán a un uso más intensivo de la tecnología y estarán por tanto sujetas a todos los retos que esta presenta pero las ventajas serán siempre mayores.

La concienciación y la formación en ciberseguridad son imprescindibles para todos.

Otro reto es incorporar la Ciberseguridad a sus procesos de negocio. Se debe abandonar la idea de que la ciberseguridad es algo de los técnicos. El único enfoque válido para abordar la Ciberseguridad es el de gestión de riesgos y este incorporarse desde el nivel estratégico y tener el compromiso de la dirección.

Otro reto importante está en la contratación de servicios pues las derivas tecnológicas hacia la nube imponen una revisión exhaustiva de las condiciones de seguridad que ofrecen en los acuerdos de nivel de servicio. Todo esto sin descuidar una adecuada respuesta ante incidentes para la cual es importante contar con un plan de contingencia y continuidad que nos de la adecuada resiliencia, estemos en la nube o en local.

En cuanto a ataques externos:
o Spam
o Virus, gusanos, spyware y otro malware
o Phishing
o Robo de dispositivos móviles
o Hacking, intrusión en nuestra red
o DoS y DDoS (denegación de servicio)
o Robo de hardware
o Espionaje corporativo
o Ataques dirigidos contra una marca o empresa
o Otros (incendios provocados)

Y en cuanto a ataques internos:
o Vulnerabilidades del software
o Perdida o fuga de datos accidental
o Pérdida o robo de dispositivos móviles
o Pérdida o fuga de datos premeditada
o Pérdida o fuga de datos desde dispositivos móviles
o Fallo de seguridad del proveedor
o Fraude de empleados

No hay una solución que valga para todas las pymes. En general, la pyme más pequeña va a ver beneficios en externalizar los servicios, pues podrá contar con la experiencia de los profesionales sin tener que contratar uno en exclusiva. Por el contrario, las empresas de mayor tamaño necesitan contar con especialistas en ciberseguridad que trabajen de forma permanente en la compañía, si bien algunos servicios muy específicos podrían externalizarse.