Ciberseguridad

Origen de la ciberseguridad

Durante las últimas décadas, se ha producido un proceso de digitalización de la sociedad sin precedentes, tanto a nivel laboral como personal. Todas las empresas estaban interesadas en obtener los últimos equipos para facilitar las tareas y aumentar su productividad. Este proceso implicó consecuencias a nivel de seguridad, puesto que los nuevos requerimientos y necesidades de comunicación implicaban mayor exposición de la información.

La ciberseguridad o seguridad digital es un aspecto fundamental para todas aquellas empresas que se enfrentan a una nueva realidad donde todo está interconectado. Pese a su importancia, son pocas las organizaciones que cuentan con una estrategia claramente definida para abordar el asunto, enfrentándose a los peligros que el mundo online supone para su actividad.

El concepto de ciberseguridad concepto nació con la necesidad de las compañías de proteger sus sistemas informáticos de ataques maliciosos que pudieran comprometer su correcto funcionamiento y hacer un uso indebido de la información obtenida en ellos, buscando generalmente un beneficio económico. Su objetivo no solamente es aplicar diferentes sistemas de seguridad con el fin de prevenir y/o contrarrestar dichos ataques, sino que también es educar a los usuarios sobre cómo evitar riesgos innecesarios.

Yendo más allá, la empresa Kaspersky define la ciberseguridad como la práctica que tiene como objetivo “defender los ordenadores y servidores, dispositivos móviles, sistemas electrónicos, redes y datos frente a ataques maliciosos”. Esta definición deja claro que la ciberseguridad no es una práctica limitada únicamente a asegurar los equipos informáticos, sino que se dirige a cualquier dispositivo o sistema que pueda estar conectado a internet o hacia cualquier material de valor almacenado.

El Centro Criptológico Nacional de España denomina ciberseguridad al conjunto de actuaciones orientadas a asegurar, en la medida de lo posible, las redes y sistemas de que constituyen el ciberespacio: detectando y enfrentándose a intrusiones; detectando, reaccionando y recuperándose de incidentes; preservando la confidencialidad, disponibilidad e integridad de la información.

Necesidad de una estrategia de ciberseguridad

Hay muchos aspectos que determinan la necesidad de disponer de una estrategia clara en ciberseguridad en las organizaciones. Entre las más destacables se encuentran:

• La dependencia de las organizaciones a la infraestructura de red en sus procesos productivos

Cada vez más, las empresas se digitalizan y tienen más procesos en sistemas de información, con lo cual su superficie de ataque es mucho mayor, existen un mayor número de vulnerabilidades y más formas de atacarlas o robarles información.

• El software malicioso como una amenaza de primer nivel

El software malicioso es cada vez más más numeroso y peligroso, llegando a producirse ataques como los de NotPetya o Wannacry hace unos años, que causaron un daño muy alto a nivel mundial.

• Cualquier negocio puede ser atacado por estas vías

Estos ataques no solo lo reciben grandes organizaciones, sino también las pequeñas. De hecho, estas pequeñas organizaciones suelen ser un gran objetivo, debido a que no tienen equipos de ciberseguridad o los que tienen son muy pequeños y limitados.

• La existencia de casos conocidos de gran impacto

En los últimos años se han producido un gran número de ataques a grandes empresas como Facebook, Marriot, Equifax, Merck, etcétera, y este número va creciendo cada año.

El ataque a Equifax, por ejemplo, conllevó la exposición de los datos de cientos de millones de usuarios o bien el caso de los malware Wannacry o NotPetya que cifraron los datos de miles de organizaciones a nivel mundial.

• El cibercrimen se ha convertido en un gran negocio muy lucrativo

Esto ocurre sobre todo a raíz del auge del esquema de negocio cybercrime-as-a-service, es decir intermediarios con un gran conocimiento técnico que crean servicios, como por ejemplo malware que pueden ser adaptados, ofrecen listas de correos, de tarjetas de crédito, etcétera. Ellos no ejecutan los ataques, sino que un tercero, sin tantos de conocimientos técnicos, contrata esos servicios y él ejecuta el ataque.

De esta manera, el número de atacantes puede crecer exponencialmente al no necesitar conocimientos tan grandes.

Se estima que el coste del cibercrimen aumentará hasta los 6 billones de dólares en 2021. El cibercrimen se ha convertido en un asunto de gran relevancia, más aún si tenemos en cuenta el peligro añadido que conlleva una disrupción en los sistemas pertenecientes a infraestructuras críticas como hospitales, bancos, distribución eléctrica, etc.

Aspectos de una estrategia de ciberseguridad

Dentro de una estrategia de ciberseguridad deberíamos contemplar como mínimo los siguientes procesos y pasos:

• Elaborar políticas y procedimientos adecuados a la organización

En primer lugar, se deberían identificar los elementos más importantes para el proceso productivo, así como la manera con la que los empleados interactúan con ellos. En este punto, se debería establecer una definición de ciberseguridad, sus objetivos, basados en la identificación previa de los activos a proteger, y su importancia en la misma. Estas políticas se pueden dividir, principalmente, en tres ramas:

· Prevención: se busca prevenir que nos puedan atacar, por ejemplo, usando control de acceso, identificación y autenticación, seguridad de las comunicaciones, etc.

· Detección: buscamos que, en caso de que nos ataquen, podamos detectar que hemos sido atacados, limitando el impacto de daño realizado, por ejemplo, utilizando herramientas SIEM o sistemas de detección de intrusión.

· Recuperación: una vez detectado un incidente de ciberseguridad mediante un control de detección, buscar cómo recuperarnos y minimizar el impacto, por ejemplo, mediante continuidad del negocio, el uso de copias de seguridad, etcétera.

• Organización de la seguridad

En todas las empresas se realizan una infinidad de tareas muy diferentes, algunas relacionadas con la línea del negocio principal y otras más enfocadas al mantenimiento, propiamente dicho, de la compañía y sus instalaciones.

Por ello, es importante estructurar una red de personal responsable de la ciberseguridad en sus respectivos campos. Éstos deberían ser designados por los directores de cada departamento y serán los encargados de proveer a sus subordinados directrices claras sobre cómo llevar la ciberseguridad a su respectivo departamento. También serán las personas que responderán ante la dirección de la empresa en el caso de que su departamento sufra un incidente de ciberseguridad.

Además, es muy importante que tanto los responsables, como la dirección muestren compromiso con las políticas de ciberseguridad establecidas, con el fin de dar ejemplo e incentivar a sus empleados a seguirlas.

• Establecer una cultura de ciberseguridad

Es vital para el mantenimiento y cumplimiento de las políticas. En esta medida se contemplan, entre otras, las siguientes actuaciones:

· Aplicar y mejorar las políticas acordes a los cambios de la compañía, así como en base a los incidentes que hayan ocurrido, porque de los errores se aprende más que de los aciertos.

· Elaborar un plan de formación eficaz para los empleados, tanto formaciones técnicas para personal de TI y ciberseguridad, como formación y concienciación para otro tipo de usuarios, tanto responsables de negocio como usuarios finales.

· Se debe realizar un plan de concienciación continuo mediante acciones divulgativas y píldoras de información. Se busca la motivación de los empleados para cumplir con las políticas, puesto que nunca se debe olvidar que el empleado es el eslabón más importante en la cadena de seguridad de la empresa. Se busca el concepto de “lluvia fina”, es decir, que vaya cayendo de forma continua sin agobiar al usuario.

· El responsable de cada departamento se encargará de la implantación y supervisión de las políticas, de realizar auditorías internas regulares, de monitorizar los recursos y sistemas utilizados frecuentemente y de informar a sus empleados sobre los métodos de monitorización empleados por la empresa, sobre todo para el cumplimiento legal respecto de los trabajadores.

• Disponer de un plan de continuidad del negocio

En este plan se deben recoger y especificar los objetivos de recuperación en caso de disrupción del servicio, donde se incluya una evaluación detallada de la criticidad de cada elemento que compone el sistema productivo, con el fin de establecer un orden de recuperación del proceso.

También se debe hacer un análisis del impacto y de las consecuencias asociadas a un incidente en cada sistema, con el fin de que podamos saber qué sistemas se deben recuperar antes, cuáles después y, sobre todo, en qué tiempo.