Las tensiones geopolíticas son elevadas y los ciberataques aumentan en frecuencia y gravedad.
Los altos directivos de todas las organizaciones deben implicarse plenamente en la cuestión de la resiliencia cibernética.
Esto significa planificar ante interrupciones de Internet y ataques contra proveedores de servicios, realizar copias de seguridad de todos los datos y priorizar y valorar la experiencia en ciberseguridad.
En un conflicto cibernético hay dos tipos de posibles víctimas: las que saben que son un objetivo y las que todavía no lo saben. El aumento de la frecuencia y la gravedad de los ciberataques en Europa, en un momento de elevadas tensiones geopolíticas, debería llevar a los altos directivos de todas las organizaciones a reflexionar sobre la resiliencia cibernética.
Durante el último mes, Europa ha sido testigo de numerosos incidentes cibernéticos que afectan a infraestructuras críticas. El reciente ciberataque contra los principales centros europeos de refinado de petróleo de Ámsterdam-Róterdam-Amberes provocó importantes interrupciones en la carga y descarga de cargamentos de productos refinados, en medio de una crisis energética continental. En Portugal, Vodafone, el mayor operador europeo de telecomunicaciones, sufrió una grave paralización de sus operaciones, lo que limitó los servicios en el país. En Belarús, un grupo de oposición cibernética autoproclamado anunció que había paralizado de hecho la red ferroviaria nacional, en plena realización de ejercicios militares con Rusia. Por último, una oleada de ciberataques de menor escala afectó a Ucrania, con sitios web gubernamentales como objetivo.
Las organizaciones de infraestructuras críticas (IC) suelen saber que probablemente se convertirán en objetivos durante los conflictos cibernéticos. Han estado invirtiendo en ciberseguridad y se les anima a colaborar con sus pares para desarrollar resiliencia en todo el sector. La iniciativa del Foro Económico Mundial «Resiliencia cibernética en el sector del petróleo y el gas» ha reunido a varios actores del sector con el objetivo de elevar el nivel en toda la industria.
Las organizaciones de IC suelen tener acceso a programas especiales de apoyo gubernamental y, en ocasiones, incluso a información de inteligencia sobre amenazas. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos ha estado especialmente activa últimamente en la difusión de advertencias a todas las empresas. Sin embargo, a menudo existe una discrepancia entre la percepción del consejo de administración de una empresa sobre su resiliencia cibernética y la opinión de los profesionales de ciberseguridad. En una encuesta reciente del Foro Económico Mundial, el 92% de los ejecutivos empresariales consideró que la ciberseguridad se había integrado en las estrategias de gestión de riesgos de su empresa, mientras que solo el 55% de los responsables de ciberseguridad estuvo de acuerdo.
Los atacantes suelen tener como objetivo organizaciones que no son infraestructuras críticas. Durante la pandemia de Covid-19, los hospitales fueron víctimas habituales de ciberataques y, en enero de 2022, el Comité Internacional de la Cruz Roja anunció que había sufrido un ataque informático. A veces es difícil determinar si un ataque de este tipo responde a una motivación delictiva o política (¿se trata de «ransomeware» o de «ransomwar»?), ya que los ciberdelincuentes pueden tratar de aprovechar la confusión general de cualquier crisis política. Todas las organizaciones deberían ser conscientes de que la cuestión no es si sufrirán un ataque, sino cuándo.
Lista básica de verificación para altos directivos
1. Cree «holgura digital» en su organización
Esto significa no solo conservar algunos equipos obsoletos como posibles repuestos o copias de seguridad por si necesita sustituir algún hardware de inmediato, sino también estar preparado para crear margen en los procesos empresariales. ¿Qué importancia tienen las videollamadas? ¿Qué nivel de conectividad necesita para mantenerse en contacto con el personal sobre el terreno y qué debe priorizarse? Y si su empresa depende de un alto volumen de interacciones entre empresas o entre empresas y consumidores, ¿qué medidas tiene para mantener un nivel mínimo de servicio? ¿Qué ocurre cuando su principal cliente, socio o proveedor desaparece tras un cortafuegos de ámbito nacional?
2. Prepárese para hacer frente a ataques contra proveedores de servicios
Considere diversificar los servicios y contar con alternativas en toda su gama. Por ejemplo, los proveedores de servicios en la nube suelen permitirle elegir las «regiones» o zonas geográficas donde se almacenan sus datos, lo que le da la opción de evitar temporalmente una zona geográfica afectada por un conflicto generalizado, aunque probablemente con algunos costes operativos y regulatorios. También puede convenirle invertir en relaciones secundarias por si necesita cambiar de proveedor rápidamente.
3. Revise sus procesos de gestión de la continuidad del negocio y recuperación ante desastres
Esto le ayuda a prepararse tanto para ataques de ransomware como para ataques incapacitantes contra sus proveedores de servicios externos. Aplique la regla 3-2-1 a sus datos más importantes: mantenga tres copias de seguridad distintas de cada tipo de conjunto de datos críticos, en dos soportes diferentes, uno de ellos almacenado fuera de las instalaciones. Considere cambiar periódicamente sus copias de seguridad: una de las razones por las que el ransomware tiene éxito es que ha infectado las copias de seguridad o que se considera que restaurarlas llevaría demasiado tiempo.
4. Dé más margen de acción a su equipo de ciberseguridad
Si hay que actualizar algo, no obligue al equipo de ciberseguridad a esperar para no incomodar a la empresa: hágalo cuanto antes. Si es necesario suspender temporalmente algunos servicios para reforzar su red, en conjunto puede ser un pequeño precio que pagar frente al impacto de un ataque. Quizá lo más importante sea permitir que su equipo de ciberseguridad colabore con otros a través de canales tanto formales como informales.
Qué hace el Foro Económico Mundial en materia de ciberseguridad
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en desarrollar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la resiliencia cibernética y a abordar desafíos que requieren respuestas colectivas.
5. Incorpore conocimientos especializados en ciberseguridad al consejo de administración
Todas las organizaciones deberían haber designado a un responsable de resiliencia corporativa a nivel del consejo de administración o equivalente. Esa persona deberá adoptar una perspectiva amplia e incluir otros riesgos, como las crisis relacionadas con pandemias. Para garantizar que la ciberseguridad esté debidamente representada, considere que el director de seguridad de la información (CISO, por sus siglas en inglés) participe directamente o, al menos, planifique sesiones informativas periódicas para todo el consejo. En general, el responsable de resiliencia y el CISO deberían considerar la posibilidad de involucrar al consejo mediante ejercicios de simulación para recrear interrupciones digitales y las decisiones que podrían exigir. El Foro Económico Mundial contribuyó a elaborar los Principios para la gobernanza del riesgo cibernético por parte de los consejos de administración para ayudar a las empresas a ser más resilientes frente a los ciberataques.
Los conflictos cibernéticos actuales suelen asociarse con imágenes apocalípticas de infraestructuras calcinadas y apagones de una semana. Estas amenazas son reales, pero, por fortuna, siguen siendo muy improbables. Un escenario mucho más realista de un conflicto cibernético político más amplio podría implicar interrupciones prolongadas y de bajo nivel en infraestructuras críticas, así como un entorno digital y tecnológico generalmente degradado. Como líderes, es imperativo que nos preparemos para tales interrupciones adoptando prácticas de resiliencia cibernética y medidas de continuidad del negocio.
