Ciberseguridad básica para organizaciones benéficas pequeñas

Esta guía es para organizaciones benéficas pequeñas donde "el departamento de informática" es quien sea bueno con las computadoras. Los delincuentes en línea atacan a las organizaciones benéficas porque manejan dinero y datos personales, y muchas veces funcionan a base de confianza y contraseñas compartidas. La buena noticia: unos cuantos hábitos sencillos detienen la mayoría de los ataques. Después de leerla, podrá activar la verificación en dos pasos, usar un gestor de contraseñas, reconocer las estafas comunes, tener copias de seguridad y controlar quién tiene acceso cuando las personas llegan y se van.

Empiece con los cuatro pasos de CISA

La Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) es la agencia federal que ayuda a proteger al país de las amenazas cibernéticas. Su programa gratuito Secure Our World (Proteja nuestro mundo) resume la seguridad en cuatro pasos:

1. Use contraseñas fuertes y un gestor de contraseñas
2. Active la autenticación multifactor
3. Reconozca y reporte el phishing
4. Actualice sus programas

Si su organización hace bien solo estas cuatro cosas, ya está por delante de muchas otras.

Autenticación multifactor (verificación en dos pasos)

La autenticación multifactor, o MFA por sus siglas en inglés, significa usar algo más que una contraseña para entrar. Después de la contraseña, usted confirma que es usted, por ejemplo con un código de una aplicación, un mensaje de texto, su huella digital o una pequeña llave de seguridad que se conecta.

Aunque un delincuente le robe la contraseña, la MFA casi siempre le impide entrar. CISA dice que no todos los métodos de MFA son igual de fuertes, pero cualquier MFA es mejor que nada. Los códigos de una aplicación o las llaves de seguridad son más fuertes que los mensajes de texto. CISA dice que la MFA "resistente al phishing", como las llaves de seguridad que usan el estándar FIDO, es la más fuerte.

Active la MFA primero en:

• Las cuentas de correo electrónico (con ellas se pueden cambiar todas las demás contraseñas)
• La banca en línea y las plataformas de pago
• La base de datos de donantes y el programa de contabilidad
• Las cuentas del sitio web, del dominio y de las redes sociales

Gestores de contraseñas

Un gestor de contraseñas es una aplicación que crea y guarda contraseñas fuertes y distintas para cada cuenta, protegidas con una sola contraseña maestra. Solo tiene que recordar una.

Por qué importa: cuando las personas usan la misma contraseña en todas partes, una filtración en un solo sitio web puede abrir todas sus cuentas.

Buenos hábitos:

• Elija un gestor de contraseñas con un plan para empresas o equipos, para poder compartir ciertas contraseñas de forma segura.
• Use una contraseña maestra larga, como una oración corta, y protéjala con MFA.
• Use una contraseña distinta y larga para cada cuenta.
• Comparta las contraseñas por medio del gestor, nunca por correo, mensaje de texto o notas adhesivas.

El phishing y las estafas con tarjetas de regalo

El phishing es cuando un delincuente envía un mensaje haciéndose pasar por alguien de confianza para engañarlo y que haga clic en un enlace, abra un archivo, comparta una contraseña o envíe dinero. Puede llegar por correo, mensaje de texto, teléfono o redes sociales.

Señales de alerta:

• Urgencia o presión: "Necesito esto en la próxima hora."
• Una petición de guardar el secreto o de saltarse los pasos normales
• Una dirección de remitente o un enlace que se ve un poco raro
• Archivos adjuntos o páginas de inicio de sesión que no esperaba
• Una petición de contraseñas, códigos o pagos

Una estafa común contra organizaciones benéficas: alguien se hace pasar por su director ejecutivo o por el presidente de la junta directiva y le pide a un voluntario que compre tarjetas de regalo "para agradecer a un donante" y que le envíe los números de atrás.

También tenga cuidado con las estafas de cambio de pago: un correo que parece venir de un proveedor o socio y le pide enviar dinero a unos "nuevos datos bancarios". Confirme siempre por teléfono, usando un número que ya tenga.

Si alguien hace clic o paga:

• No sienta vergüenza y no lo esconda. La rapidez importa más que la culpa.
• Cambie las contraseñas afectadas y cierre las demás sesiones abiertas.
• Llame a su banco de inmediato si se envió dinero.
• Guarde los recibos de las tarjetas de regalo y comuníquese con la compañía de la tarjeta. La FTC recomienda reportarlo en ReportFraud.ftc.gov.
• Reporte los delitos en línea al Centro de Denuncias de Delitos por Internet del FBI en ic3.gov.

Ponga como regla que cualquiera puede reportar un error sin meterse en problemas. Las personas que temen que las culpen se quedan calladas, y eso les da más tiempo a los atacantes.

Actualizaciones

Las actualizaciones de programas muchas veces arreglan fallas de seguridad. El consejo de CISA es sencillo: no las deje para después. Active las actualizaciones automáticas en teléfonos, computadoras, navegadores y aplicaciones. Reemplace los aparatos que ya no reciben actualizaciones de seguridad.

Copias de seguridad

Una copia de seguridad es una copia aparte de sus archivos importantes que puede recuperar si algo se pierde, se daña, se lo roban o queda bloqueado por ransomware (un programa malicioso que bloquea sus archivos y exige un pago).

• Sepa qué es lo más importante: registros de donantes, archivos financieros, documentos de subvenciones, políticas, fotos con sus formularios de consentimiento.
• Guarde por lo menos una copia de seguridad separada de sus archivos de todos los días, para que el mismo problema no afecte a las dos.
• Revise que las copias de seguridad se hagan automáticamente.
• Pruebe una restauración por lo menos dos veces al año. Una copia de seguridad que nunca ha probado es una esperanza, no un plan.

Cuentas compartidas

Muchas organizaciones pequeñas comparten una sola contraseña para las redes sociales o el portal del banco. Esto es arriesgado: no se puede saber quién hizo qué, y no se puede quitar el acceso a una persona sin cambiarlo para todos.

• Dele a cada persona su propia cuenta siempre que el servicio lo permita.
• Cuando no se pueda evitar una cuenta compartida, guarde la contraseña en el gestor y cámbiela cuando alguien se vaya.
• Registre las cuentas importantes con una dirección de función (como admin@suorganizacion.org), no con el correo personal de alguien.
• Tenga una lista sencilla de todas las cuentas, quién tiene acceso y quién es el responsable.

Cuando alguien se va: la salida ordenada

La salida ordenada (offboarding) significa quitarle el acceso a alguien cuando deja de ser voluntario o de trabajar con usted. Es el paso que más olvidan las organizaciones pequeñas.

En los primeros días después de que alguien se vaya:

• Elimine o desactive sus cuentas.
• Cambie las contraseñas de las cuentas compartidas que conocía.
• Quítele los permisos de administrador en las redes sociales, el sitio web y el dominio.
• Recoja las computadoras portátiles, llaves y aparatos de la organización.
• Saque los archivos de la organización de su almacenamiento personal.

Hágalo con amabilidad. No es una señal de desconfianza. Lo protege a esa persona tanto como a usted.

Su lista de tareas de ciberseguridad

• Active la MFA en cada cuenta de correo
• Active la MFA en las cuentas del banco, de pagos, de donantes y del sitio web
• Configure un gestor de contraseñas y pase ahí las contraseñas compartidas
• Explíquele a todos qué es el phishing y la estafa de las tarjetas de regalo
• Acuerden la regla de "llamar para confirmar" cualquier pago o cambio bancario
• Active las actualizaciones automáticas en todos los aparatos
• Configure copias de seguridad automáticas y pruebe una restauración
• Haga una lista de todas las cuentas y de quién tiene acceso
• Escriba una lista corta para la salida ordenada y úsela cada vez

La seguridad no tiene que ser perfecta para funcionar. Cada paso que da hace que su organización sea un blanco más difícil, y los delincuentes casi siempre se van a buscar blancos más fáciles.

Si quiere ayuda para organizar algo de esto, pídasela a una organización miembro a través del Intercambio.