Seguridad cibernética empresarial: riesgos y oportunidades

Por: Marcelo Toniolo, Director de Gestión de Riesgos Operacionales para PayPal América Latina 

Nuestro mundo, familiar y de negocios, depende cada vez más de las comodidades y beneficios que ofrece el ciberespacio. Por el lado personal contamos con teléfonos, automóviles, televisores, carros y hasta casas inteligentes, mientras que en el aspecto de negocios tenemos  operaciones administrativas, de producción y de servicios que dependen muchísimo del Internet. De hecho, ya somos protagonistas de las fábricas inteligentes como parte de la Cuarta Revolución Industrial, también conocida como Industria 4.0.

Sin embargo, estos beneficios y comodidades que menciono nos exponen al peligro de los piratas cibernéticos o ‘hackers’. En los meses recientes miles de empresas y organizaciones estuvieron a merced de piratas cibernéticos que secuestraron información de  operaciones y  clientes, y reclamaron jugosas recompensas monetarias para liberar dicha información.

Precisamente, la piratería cibernética y la seguridad informática corporativa fueron los temas centrales de la Vigésimo Novena Conferencia Anual del Foro de Equipos de Respuesta a Incidentes de Seguridad Informática, en inglés FIRST, que se celebró el pasado mes de junio en San Juan, Puerto Rico.

Las estadísticas reveladas durante la conferencia merecen atención. Por ejemplo, se resalta que diariamente a nivel mundial se producen 90,000 ataques cibernéticos del tipo ciber-extorsión, y que el total de recompensas o rescates pagados para recuperar información secuestrada alcanza los mil millones de dólares.

Según el portal Hackmageddon, especializado en estadísticas de ataques, el universo de los ataques se divide en 74.1% que son crímenes cibernéticos, 21.2% espionaje cibernético, 3.5% hackeo y 1.2% ciberguerra. En realidad, se trata de una guerra sobre la cual la mayoría de los empresarios y ciudadanos están ajenos. Además, aquellos que son conscientes del problema, están retrasados en promedio dos años en cuanto a medidas de prevención.

¿Cómo lo hacen?

 Los llamados ‘malware’ se adaptan a las nuevas medidas de seguridad, de manera que los sistemas de seguridad no los detecten. Aun si actualizas tus sistemas de seguridad, existe un riesgo de que los piratas  mejoren sus virus de tal manera que sí puedan penetrar. Por lo general, pensamos que el pirata cibernético es un joven, y en realidad no es así, hoy día estamos trabajando también en contra de empresas que atacan para ganar dinero.

Un buen primer paso para proteger la información de tu empresa, y la personal también, es asumir que alguien puede entrar a tu red. Usualmente, cuando alguien descubre que tiene un malware en su red, el atacante ya lleva como 200 días dentro del sistema, espiando, analizando, observando. Se van moviendo de máquina en máquina tratando de obtener más privilegios para acceder a niveles más altos.

Por ejemplo, un pirata infecta un portal que vende libros, y cuando el cliente hace una compra, automáticamente baja un ‘software’ maligno que infecta su teléfono o computadora, vulnerando así la seguridad e información del comprador.

 ¿Qué hacer?

 1- Realizar un análisis de vulnerabilidad

2- Hacer pruebas de penetración

3- Tener los ‘softwares’ al día, actualizados

4- Segmentar la red, para que el pirata no penetre al resto del sistema

5- Limitar los privilegios de acceso a los empleados

Una máxima del mundo empresarial moderno es que las empresas tienen que actualizar periódicamente sus sistemas de seguridad. En ese sentido, uno de los datos más relevantes compartido durante la conferencia de seguridad informática es que  el 75 % de las compañías atacadas no tienen actualizados sus sistemas; si lo tuviesen, el pirata cibernético no podría penetrar. En ese sentido, los expertos aconsejan realizar simulaciones de ataques para medir la capacidad de resistencia del sistema de seguridad cibernética.

También se recomienda segmentar la red, de manera que si hay una penetración, el pirata no pueda acceder al resto de la red. Otro consejo importante es no conceder permiso o privilegios de acceso de alto nivel a todo el personal. Si un empleado cambia de funciones, también tiene que actualizarse su nivel de acceso a la red.

Un error muy grave que se repite a nivel de negocios es que los ejecutivos y empresarios utilizan claves (‘passwords’) muy sencillas. Los piratas tienen una lista de miles de claves que por regla general la mayoría de las personas prefieren utilizar. Las empresas deben reforzar que sus empleados utilicen claves de acceso que sean difíciles de descifrar.

 ¿Cuál es la situación en Latinoamérica?

Según la conferencia FIRST, Latinoamérica está entre 12 a 18 meses atrasada en cuanto al reconocimiento de la importancia de la seguridad cibernética. Ello se refleja por ejemplo en la escasez notable de expertos con experiencia en seguridad de información.  Por lo tanto, las empresas latinoamericanas debieran realizar más pruebas de vulnerabilidad para medir la resistencia de sus sistemas a un ataque externo.

 ¿Qué se espera para los próximos cinco años?

La inversión en seguridad informática va a un ritmo lento, sin embargo, la cantidad de ataques cibernéticos y la cantidad de dinero en pérdidas va en aumento. Con el cambio constante de la tecnología, la seguridad corporativa está tomando más y más importancia. Es un hecho que en los próximos cinco años  habrá mayor necesidad de conocimiento del tema y mayor interés por el mismo a todo nivel en la región. Lamentablemente, esto se dará a raíz de más y más problemas de ciberataques.

Sabemos que donde hay crisis, hay oportunidades. Este es un buen ejemplo, ya que la seguridad cibernética es ahora una profesión de gran demanda, con mejores opciones de salario.