Recomendaciones de ciberseguridad en la gestión y documentación contable

Ante los riesgos y amenazas que han surgido y evolucionado a la par de los avances tecnológicos, se hace necesario que los contadores estén atentos al cuidado de la información que les suministran sus clientes, a la vez de aportar algunas sugerencias, prácticas y controles para que sean implementados en las empresas que asesoran.

Atendiendo esto, en este artículo se exponen diferentes recomendaciones de ciberseguridad para la gestión, documentación y custodia de la información contable.

Entrar en contexto y abrir la conversación sobre la gestión de riesgos informáticos

Desatender la gestión de riesgos desde el inicio del emprendimiento empresarial genera demasiados riesgos y dolores de cabeza a futuro, además, a medida que la empresa va creciendo, se vuelve más complejo implementar acciones concretas y generar una cultura interna al respecto.

Por tanto, si es incómodo poner sobre la mesa la necesidad de realizar una adecuada gestión de riesgo, se podrían implementar algunas de las siguientes recomendaciones para abrir esa conversación, siendo la sensibilización una buena práctica para iniciar.

Conocer las amenazas y realizar capacitaciones para mitigar riesgos

Otra estrategia importante para gestionar y mitigar los riesgos informáticos cuando ya se ha introducido una sensibilización al respecto, es evitar tener información local desprotegida, ya sea la información contable o de otro tipo que pueda ser sensible para la entidad.

Adicionalmente, se debe conocer qué tipo de ciberataques existen y emplear capacitaciones al personal para que conozcan cómo operan quienes quieren dañar, alterar o robar datos.

Existen diferentes tipos de ciberataques, los más conocidos son los que se agrupan en las siguientes categorías:

Pishing o suplantación de identidad

Es la amenaza que se presenta cuando quieren robar información confidencial haciéndose pasar por personas o entidades de confianza, generalmente se realiza a través de una interacción por correo electrónico o mensaje.

Una acción para gestionar este tipo de amenazas es capacitar a los empleados sobre qué tipo de mensajes pueden identificarse como falsos, estos pueden ser:

• Los que incluyen lenguaje amenazante.
• Tiene como remitente una fuente distinta a la de la entidad o persona natural a la que hace referencia el mensaje.
• Solicita información personal o bancaria.
• Incluyen textos con errores gramaticales y de ortografía.

Malware o sistemas maliciosos

Consiste en la instalación de software malicioso que puede provocar daños en la información o en los sistemas como: virus, troyanos, descarga automática de información, cifrado de archivos (en los que generalmente se pide un rescate por los datos, ransomware), etc.

Web Attacks o ataques a páginas web

Son ataques en los cuales se infiltran códigos aprovechando una falla, hueco o vulnerabilidad en una aplicación o página web, generalmente se usa la inyección de comandos que generan desde el acceso a información como el control absoluto de un servidor.

En estos dos últimos tipos de amenazas se requiere la implementación de chequeo de contraseñas y antivirus, también se debe realizar una verificación de los vínculos o archivos antes de ejecutarlos y no suministrar información confidencial por diferentes fuentes ajenas a las supervisadas por los equipos de tecnología.

Además, resulta fundamental utilizar un software en la nube que cuente con las últimas actualizaciones en seguridad.

Tip Alegra: Explora el poder y la seguridad de la contabilidad inteligente con Alegra Contabilidad, tu solución en la nube.

Cultura de cuidado y recomendaciones de ciberseguridad para evaluaciones periódicas

Por último, es necesario realizar seguimiento y control de los riesgos, para esto se pueden realizar evaluaciones periódicas que permitan identificar fallas, vulnerabilidades o zonas grises en la seguridad de la información, para esto se recomienda:

• Realizar restricciones a los accesos de los usuarios, de acuerdo con los roles ocupados en la entidad.
• Para la instalación y configuración de software, restringir los derechos solo para administradores.
• Implementar el chequeo de antivirus y evaluar periódicamente que las licencias estén actualizadas.
• Cifrar los datos y hacer copias de seguridad, en caso de que se tenga un software local, buscar la migración a uno de almacenamiento en la nube que cumpla con todos los estándares de seguridad.
• Destinar un equipo o persona encargada en la Pyme que pueda ser ayuda ante la inquietud de algún colaborador sobre algún correo malicioso o alguna inquietud sobre la seguridad de la información.
• Atender las actualizaciones y mejoras que se estén realizando en los software y equipos por parte de los proveedores tecnológicos y estar al tanto de las nuevas funcionalidades.

¿Has vivido alguna situación difícil relacionada con la gestión de riesgos informáticos? ¿Qué herramientas usaste para buscar una solución? Cuéntanos en los comentarios, para que todos aprendamos de tu experiencia.

No olvides atender todas las novedades sobre control de calidad y aseguramiento en la sección de Contabilidad en Siempre Al Día.