Ciberianos a las puertas: su empresa bajo ataque
Cada vez resulta más difícil para las empresas distinguir a los amigos de los enemigos cuando se trata de algo tan sencillo como leer o responder un correo electrónico de un asesor de confianza. En un solo incidente, revelado este diciembre por la empresa de ciberseguridad FireEye, un grupo de hackers se infiltró en al menos 100 empresas de EE. UU. y recopiló datos confidenciales que, según se informa, podrían afectar a los mercados financieros mundiales.
Según FireEye, el grupo al que ha denominado Fin4 lleva operando desde al menos mediados de 2013 y ha atacado principalmente a empresas de los sectores farmacéutico y sanitario, así como a asesores de compañías de esos sectores. Todas las empresas afectadas, salvo tres, cotizan en el NASDAQ o en la Bolsa de Nueva York.
Explotar la vulnerabilidad basada en la confianza
Los ataques de Fin4, que se basan principalmente en correos electrónicos recibidos de fuentes aparentemente creíbles y están redactados con la jerga de la banca de inversión, revelan hasta qué punto son vulnerables las empresas y cuán persistentes pueden ser los ciberdelincuentes.
«Si está en línea, está siendo atacado», afirma Gary S. Miliefsky, director ejecutivo de SnoopWall, una empresa de software antispyware para móviles, y miembro del consejo asesor del Centro para el Estudio del Terrorismo y la Ciberdelincuencia de la Universidad de Norwich. «Si la información es importante, en algún momento será robada. Las empresas deben reforzar sus defensas proactivas y empezar a capacitar a sus empleados para que comprendan mejor las prácticas recomendadas para proteger la información crítica para la misión».
Aunque Fin4 atacó al sector farmacéutico y a sus proveedores asociados, ninguna empresa es inmune a la ciberdelincuencia.
«Sencillamente, no se puede considerar la responsabilidad cibernética como un solo componente de la gestión de riesgos», afirma Lori Bailey, directora global de Líneas Especiales de Zurich Insurance Group. «Debe integrarse en todos los aspectos y operaciones de la organización».
Si tiene una empresa, está expuesto
Las instituciones financieras y los sectores minorista, sanitario y hotelero suelen ser los principales objetivos de las megafiltraciones. «Pero, si se analizan las exposiciones generales de cualquier industria, todas están interconectadas por la tecnología. No importa el sector: fabricación, servicios públicos, agricultura, telecomunicaciones; todas las industrias están expuestas a la responsabilidad cibernética», afirma Bailey.
Aunque cada vez se conocen más los riesgos potenciales relacionados con la actividad cibernética que pueden causar daños a la reputación, por ejemplo, puede ser más difícil comprender los riesgos operativos generales relacionados con la responsabilidad cibernética y la seguridad de los datos.
«Muchas empresas son más conscientes de los riesgos para la reputación derivados de un incidente cibernético que hace unos años», afirma Bailey. «Sin embargo, sencillamente no saben dónde ni cuándo se producirá una filtración ni cuáles podrían ser los daños a su reputación, por lo que deben estar preparadas».
A las empresas también puede resultarles difícil gestionar el cumplimiento normativo. Solo en EE. UU., 47 estados tienen leyes de notificación de filtraciones de datos, y no hay dos exactamente iguales. La mayoría de los países también cuentan con algún tipo de ley de protección de datos. Para una pequeña o mediana empresa que carece de recursos suficientes, esto puede suponer un gran obstáculo para establecer el tipo de estrategia integral de gestión de riesgos necesaria para operar una empresa global en el mundo moderno.
Los resultados dependen de la calidad del plan
Se ha dicho que el genio es un 99 por ciento transpiración y un 1 por ciento inspiración. La gestión del riesgo cibernético toma algo prestado de ese dicho. Según Bailey, de Zurich, la eficacia con la que una empresa reacciona ante una filtración cibernética suele reflejar lo bien que se ha preparado para ella.
Las deficiencias en las prácticas empresariales internas siguen siendo una de las principales «puertas abiertas» para los infiltrados cibernéticos. Por ello, la formación y la concienciación del personal son vitales, sobre todo para las personas de alto riesgo que tienen acceso a información valiosa. Bailey recomienda que las empresas comiencen su preparación examinando a fondo sus procedimientos internos de gestión de riesgos y revisando todos los aspectos de sus operaciones generales en busca de posibles filtraciones. Este proceso abarcará desde la gestión de datos hasta las políticas de escritorios despejados. «También podría incluir una serie de evaluaciones a nivel del consejo de administración para determinar dónde puede haber exposición a riesgos relacionados con datos externos e interrupciones del negocio», afirma. «El siguiente paso es determinar cómo pueden abordarse esas exposiciones mediante herramientas de mitigación del riesgo cibernético o la contratación de seguros».
No sorprende que, según un informe de Marsh Risk Management Research, la demanda de seguros de responsabilidad cibernética aumentara un 21 por ciento en todas las industrias en 2013 respecto a 2012. Aunque tradicionalmente este tipo de seguro ha sido más popular en sectores con grandes volúmenes de información de clientes, pacientes o empresas, así como con mayor supervisión gubernamental, su atractivo se está ampliando.
En un mundo ideal, cuando se produce una filtración, la empresa responde activando sus planes de continuidad del negocio y recuperación ante desastres. Se recurre a un equipo de expertos en informática forense, relaciones públicas, gestión de crisis y cuestiones jurídicas para determinar qué ocurrió, dónde y cómo; intentar mitigar los daños potencialmente devastadores a la reputación; y gestionar las notificaciones necesarias a los clientes y otras partes interesadas.
Expertos disponibles cuando se necesitan
Sin embargo, en la mayoría de las empresas ese tipo de experiencia no está en el cubículo de al lado. «Una ventaja de trabajar con una aseguradora global es que a menudo ya tiene relaciones con proveedores de todos los segmentos industriales», afirma Bailey. «No conviene tener que intentar establecer esas relaciones durante una crisis. Si se puede reunir de inmediato a un equipo experimentado cuando el tiempo apremia, se puede aportar cierta tranquilidad al proceso y ayudar a mitigar los daños cuanto antes».
Un socio asegurador global también puede ayudar a gestionar las complejidades del cumplimiento normativo. «Una póliza de seguro puede permitirle contar con un panel de expertos que le ayude a cumplir la normativa», afirma Bailey. «Una empresa mediana, por ejemplo, quizá no tenga recursos para determinar sus obligaciones contractuales. Ahí es donde puede ayudar un equipo de expertos».
Aunque los expertos en ciberseguridad y gestión de riesgos coinciden en que casi todas las empresas acabarán siendo objetivo de un ciberataque, también coinciden en que actuar de forma proactiva es la mejor opción.
«Las empresas deben estar preparadas no solo desde una perspectiva defensiva, sino también desde una perspectiva ofensiva», afirma Chad Fulgham, director de estrategia de la empresa de ciberseguridad Tanium. «Deben asumir que ya son un objetivo y que ya han sufrido una intrusión. Esta mentalidad y cultura aportan el sentido de urgencia necesario para facilitar la adopción y priorización de medidas tanto preventivas como defensivas».
Este artículo se publica en colaboración con Zurich Blog. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para seguir las novedades de Forum:Agenda, suscríbase a nuestro boletín semanal.
Autora: Lori Bailey es directora global de Líneas Especiales en Zurich
Imagen: Una mano aparece en silueta frente a la pantalla de una computadora en esta imagen ilustrativa tomada en Berlín el 21 de mayo de 2013. REUTERS/Pawel Kopczynski