Consejos a tener en cuenta al expandirse hacia la ciberseguridad

Para las pymes, la necesidad de contar con ciberseguridad está creciendo rápidamente. El 43 % de las filtraciones de datos tienen como objetivo a las pymes; la mayoría de ellas no podrá recuperarse de un ciberataque, y el 60 % de las pymes no cuenta con una política de ciberseguridad. Y mientras millones de personas se preparan para viajar durante la próxima temporada festiva,la CISA y la Oficina Federal de Investigaciones (FBI) recuerdan a los socios de infraestructura crítica que los actores cibernéticos maliciosos están buscando formas de aprovechar este momento para interrumpir el funcionamiento de redes y sistemas críticos. 

Para muchos proveedores de servicios gestionados (MSP), la ciberseguridad representa una oportunidad extraordinaria para ofrecer valor agregado a sus clientes y generar nuevas fuentes de ingresos para sus operaciones comerciales actuales. La buena noticia es que no es necesario ser un experto en ciberseguridad para ofrecer las mejores soluciones del mercado. Solo hay que conocer las mejores prácticas, así como los productos y estrategias adecuados para lograr una ciberseguridad eficaz, sólida y fácil de administrar.

Para los MSP que estén considerando expandirse al ámbito de la ciberseguridad, esperamos que la siguiente información, los consejos y las soluciones les resulten de gran utilidad.

No utilices los valores predeterminados

¿MDR (Detección y Respuesta Administradas) o no MDR? Aunque muchas personas ven el MDR como una solución milagrosa dentro de una infraestructura de seguridad, en realidad responde a una necesidad específica: alertarte cuando un atacante ha eludido tus otros controles. Para un MSP que busca vender en el ámbito de la ciberseguridad, este es solo un punto más en la discusión. Existen potentes herramientas de monitoreo RMM que permiten detectar sistemas sin parches, permisos de acceso excesivamente amplios, etc. La recuperación es tan importante como la detección. Si bien un MDR ofrece excelentes capacidades de detección, para una organización que recién se inicia en la venta de soluciones de ciberseguridad, no es un requisito imprescindible.

En muchos casos, los MSP se lanzan directamente a ofrecer productos sin trabajar primero en el proceso. Aunque esto pueda parecer un buen paso a corto plazo, puede volverse en tu contra a mediano y largo plazo. Para desarrollar un proceso de ciberseguridad y prácticas comerciales sólidos, puedes considerar el modelo de controles del CIS. Quizás te convenga comenzar con el IG1 (Grupo de Implementación 1).

Primeros pasos: ¿Cuál debería ser tu proceso de reflexión?

Un cambio de perspectiva

Por lo general, los MSP venden paquetes ya preparados. Al vender servicios de ciberseguridad, tendrás que ser más flexible y crear paquetes distintos para cada cliente, con el fin de complementar la tecnología básica con la que ya cuentan. Por ejemplo, tendrás que ofrecer soluciones diferentes a un cliente que utilice Microsoft 365 Business Standard, en comparación con uno que utilice Microsoft 365 Business Premium.

El proceso de ventas también es ligeramente diferente al de vender productos de TI que no estén relacionados con la ciberseguridad. Se recomienda contar con un vendedor o un ingeniero de ventas que tenga conocimientos sobre ciberseguridad, quien pueda responder a las preguntas de los clientes y ofrecerles recomendaciones. Si nadie en tu equipo cuenta con estos conocimientos, te recomendamos capacitar a un miembro del equipo antes de comenzar a vender. En muchos casos, tus proveedores pueden ayudarte a capacitar a tu equipo de ventas.

Experiencia

Como ya mencionamos, contar con conocimientos básicos o experiencia en ciberseguridad es esencial para tu éxito en este mercado, y no es necesario que contrates a alguien más para ello. En muchos casos, puedes encontrar esa experiencia dentro de tu propio equipo o capacitar a alguien para que adquiera esos conocimientos y habilidades. A partir de ahí, puedes ampliar ese conjunto de habilidades según tus necesidades a medida que tu negocio de seguridad crezca.

Existen muchas formas estructuradas de capacitar a un miembro de tu equipo. Las certificaciones como CISSP y CompTIA Security+ son un excelente punto de partida y te ayudan a forjar tu reputación como proveedor de servicios de ciberseguridad.

Muchos proveedores capacitan a tus empleados sobre cómo trabajar con sus soluciones. Un buen proveedor también ayudará a preparar a tu equipo de ventas para posicionar y vender sus soluciones. Recomendamos asociarte con este tipo de proveedores, al menos al principio. Es una excelente manera de mejorar las habilidades de tu equipo, comenzar con el pie derecho y fortalecer tus credenciales, sin tener que gastar dinero adicional. También vale la pena verificar cuánto apoyo recibes de cada proveedor de tecnología, ya que esto puede variar enormemente.

Cuando se trata de contar con las habilidades y la experiencia necesarias dentro de tu equipo —especialmente si quieres incorporarlas rápidamente—, siempre existe la opción de la subcontratación. Un CISO virtual puede ayudarte en la fase de transición, por ejemplo, al seleccionar los primeros productos que ofrecerás, desarrollar el proceso, evaluar tu oferta, etc. Como alternativa, si trabajas con un proveedor de respuesta a incidentes, puedes preguntarle si tu contrato de servicios puede usarse para consultoría, capacitación y evaluación de tu oferta. Por lo general, estarán encantados de hacerlo y tú podrás ahorrarte algo de dinero.

Invertir con inteligencia

Entrar en la industria de la ciberseguridad no tiene por qué implicar una gran inversión inicial. Sí, si eliges la vía del MDR, se requiere cierta inversión. Pero hay muchas otras formas de ofrecer ciberseguridad que no requieren tal inversión. De hecho, si analizas detenidamente tu cartera actual, es muy probable que ya cuentes con algunas ofertas de ciberseguridad; tal vez simplemente no las hayas llamado así. Por ejemplo, es probable que ya vendas BCDR. Reposicionar esto como una herramienta de seguridad puede ayudarte a posicionar a tu empresa como un proveedor de soluciones de seguridad.

Si quieres minimizar tu inversión inicial, lo mejor es optar por soluciones SaaS que no requieran una inversión de capital significativa ni un compromiso a largo plazo. Esto también te permite empezar poco a poco con unos cuantos clientes piloto y crecer a partir de ahí.

¿Con qué productos empezar?

Decidir con qué productos empezar es otro reto. Primero, revisa tu cartera actual y verifica si ya vendes productos que puedan considerarse productos de seguridad (el BCDR es un buen ejemplo, como mencionamos antes).

A continuación, te recomendamos seguir el proceso CIS. Esto te brinda una orientación básica sobre por dónde empezar, lo que te permitirá hablar con confianza sobre seguridad con tus clientes y ayudarlos a definir su apetito de riesgo.

Suponiendo que quieras ampliar la oferta de tu MSP con productos adicionales, elige productos que sean relativamente sencillos —fáciles de instalar y de usar—, que cuenten con administración centralizada y que utilicen un modelo SaaS.

Otro punto importante es elegir productos que reduzcan al mínimo la intervención humana. Lo ideal es que tus productos trabajen para ti, y no al revés. Aquí te presento algunos ejemplos:

• Tener BCDR que compruebe las copias de seguridad por ti, en lugar de que alguien de tu equipo lo haga. Al implementar BCDR, reduces la cantidad de trabajo manual involucrado y, en consecuencia, reduces tus gastos generales.
• Un producto como Datto SaaS Defense protege automáticamente el correo electrónico y las herramientas de colaboración, sin intervención humana y sin gastos adicionales de configuración ni mantenimiento. Además, ahorra horas de trabajo dedicadas a investigar amenazas: con un solo clic obtienes los resultados de una investigación exhaustiva, listos para que los compartas con tus clientes. Así que, a diferencia de otras soluciones, con SaaS Defense no necesitas contratar a un especialista en SOC.
• Protección SaaS: La protección SaaS ofrece un enfoque de múltiples capas para la protección contra el ransomware y otras amenazas cibernéticas. Con tres copias de seguridad diarias y restauraciones a un momento específico, los proveedores de servicios gestionados (MSP) pueden recuperar archivos individuales o los datos completos de una aplicación a partir de una instantánea de copia de seguridad tomada antes de un ataque; una vez más, sin intervención humana.
• Con RMM puedes aprovechar una amplia biblioteca de scripts, políticas y extensiones preconfiguradas, con el respaldo de Datto, para automatizar tareas como la detección de ransomware, que supervisa y reduce el impacto del cripto-ransomware.

Una vez más, no podemos insistir lo suficiente en esto: sea cual sea el producto que elijas, asegúrate de que la capacitación, el soporte y los servicios profesionales que recibas con el producto sean los que deberías esperar. Para quienes se inician en el ámbito de la ciberseguridad, esto es válido incluso si eso significa que tengas que elegir un producto con menos capacidades.

Para reducir aún más los gastos generales, elige productos que se integren con tu PSA actual. Te conviene que las soluciones de productos generen informes en el portal que ya utilizas, aquel con el que tus empleados están acostumbrados a trabajar. Esto es infinitamente mejor que administrar varios portales. Y si eliges un solo proveedor para todos tus productos de ciberseguridad, solo asegúrate de que su programa de seguridad sea sólido (y realiza una evaluación de diligencia debida por parte de terceros).

Por último, confía en nosotros: no caigas en la tentación de usar herramientas gratuitas. La mayoría de las herramientas gratuitas y de código abierto te tomarán cientos de horas de gestión, te fallarán cuando más las necesites y, a menudo, no contarán con el más alto nivel de seguridad. En muchos casos, simplemente no vale la pena, por más tentador que pueda parecer.

Protección legal

Esto es un aspecto fundamental a la hora de elegir tu gama de productos y tu estrategia. Cuando se trata de responsabilidad legal, no conviene correr ningún riesgo, especialmente en el ámbito de la seguridad. Sé muy claro respecto a tus responsabilidades al vender productos y servicios de ciberseguridad, y asegúrate de no quedar expuesto a riesgos si tu cliente tiene un problema grave de seguridad.

¿Mis clientes lo necesitarán?

Emprender un nuevo camino siempre conlleva cierto grado de incertidumbre. Sin embargo, en lo que respecta a la ciberseguridad, la demanda es alta y se espera que crezca aún más. Teniendo en cuenta el panorama actual —con titulares diarios sobre filtraciones de datos, ransomware, phishing y otras amenazas que afectan a las empresas—, queda bastante claro que todos necesitan ciberseguridad, especialmente las pymes.

Por supuesto, cuando se trata de pymes, el presupuesto puede ser un problema. En el pasado, debido a esto, a las organizaciones más pequeñas se les ofrecían productos de ciberseguridad menos eficaces que a las grandes empresas. Hoy en día, sin embargo, hay productos disponibles con soluciones de seguridad de nivel empresarial, diseñados para satisfacer las necesidades y ajustarse a los presupuestos de las pymes.

Como proveedor de servicios de gestión (MSP), estás en una posición ideal para ofrecer estas soluciones a las pymes.

Un último consejo para tener éxito

Un último consejo: como probablemente ya sabrás, en Datto animamos a nuestros socios MSP a que, antes de vender soluciones de seguridad a otros, revisen su propia seguridad, la evalúen y se aseguren de que su negocio esté protegido. Esto te dará la confianza y la tranquilidad necesarias para conquistar el mercado de la ciberseguridad para las pymes.

En Datto, nuestro objetivo es apoyar a los MSP. Estamos aquí para respaldarlos, y siempre son bienvenidos a consultar con nuestro equipo, probar nuestras soluciones, recibir capacitación o cualquier otro tipo de apoyo que podamos ofrecerles. Visiten este enlace para obtener más información sobre los consejos de Datto en materia de ciberseguridad.

Hay pymes que necesitan tu apoyo; ¡buena suerte!