Ciberseguridad para asociaciones y pequeñas empresas
Una lista de una página para clubes deportivos, asociaciones y emprendedores locales: copias de seguridad, MFA, actualizaciones y phishing.
Los clubes deportivos, las asociaciones de vecinos y las pequeñas empresas son el corazón de una ciudad como Nokia. También manejan datos personales de sus socios, pagos y cuentas en redes sociales, normalmente gestionados por voluntarios en su tiempo libre. Los atacantes lo saben, y las organizaciones pequeñas sufren el mismo phishing, el mismo robo de cuentas y el mismo ransomware que las grandes.
La buena noticia: unas pocas medidas básicas evitan la mayoría de los incidentes. Aquí tienes una lista de una página para repasar en la próxima reunión de la junta.
La lista
1. Activa la autenticación multifactor (MFA)
- Correo electrónico, redes sociales, alojamiento web, banco y registro de socios, por este orden.
- Mejor una aplicación de autenticación o passkeys que códigos por SMS.
2. Usa un gestor de contraseñas
- Una contraseña larga y distinta para cada servicio.
- Las cuentas compartidas de la asociación van en una bóveda compartida, no en un Excel ni en un grupo de WhatsApp.
3. Sabe quién tiene acceso
- Mantén una lista de todas las cuentas y de sus administradores.
- Cuando cambie el tesorero o el secretario, cambia las contraseñas y quita el acceso a la persona anterior el mismo día.
- Asegúrate de que al menos dos personas de confianza pueden recuperar cada cuenta importante.
4. Haz copias de seguridad
- Registro de socios, contabilidad y documentos: copias automáticas y una copia que no esté siempre conectada (sin conexión o una copia en la nube con versiones).
- Comprueba una vez al año que de verdad puedes recuperar un archivo.
5. Actualiza
- Activa las actualizaciones automáticas en ordenadores, móviles, routers y complementos de la web.
- Retira los dispositivos y programas que ya no reciben actualizaciones de seguridad.
6. Reconoce el phishing
- Desconfía de las prisas: "tu cuenta será cerrada", "paga esta factura hoy".
- El clásico: un correo que parece del presidente pidiendo al tesorero que pague una factura urgente. Confirma siempre las peticiones de pago por teléfono, en un número que ya conozcas.
7. Recoge solo los datos que necesitas
- El RGPD también se aplica a las asociaciones. No recojas números de identificación personal si no los necesitas, y borra los datos de los antiguos socios según tu política de privacidad.
8. Ten claro qué hacer si pasa algo
- Apunta a quién llamar: el banco, la persona que te ayuda con la informática, el proveedor del servicio.
- En Finlandia, notifica los incidentes al Centro Nacional de Ciberseguridad en kyberturvallisuuskeskus.fi (se abre en una pestaña nueva) y los delitos a la policía.
- Una brecha de datos personales puede tener que notificarse al Defensor de la Protección de Datos en un plazo de 72 horas.
Si solo haces una cosa: activa hoy la MFA en la cuenta de correo de la asociación. Quien controla el correo puede restablecer todo lo demás.