La ciberseguridad es más que una cuestión técnica: también es una cuestión humana. Por eso, para mantenerse seguras, las organizaciones deben combinar soluciones de apariencia engañosamente blanda, como la colaboración, las alianzas y las competencias, con la tecnología más avanzada.
Los ciberataques evolucionan constantemente y son cada vez más insidiosos. El auge de la amenaza persistente avanzada (APT) y de la aún más potente amenaza volátil avanzada (AVT) ha propiciado un aumento de los ataques polimórficos y multivectoriales contra organizaciones comunes.
Los enfoques de seguridad tradicionales, como los cortafuegos de nueva generación (NGFW) y los sistemas de prevención de intrusiones (IPS), ya no protegen frente a técnicas nuevas como el spear phishing. Los titulares siguen recogiendo casos de organizaciones respetables y competentes que, pese a ello, son víctimas de ciberataques, sufren el robo de datos, pérdidas económicas y daños a la reputación de su marca.
Y, sin embargo, resulta increíble que el 69 % de los CEO no se tomen la seguridad lo bastante en serio, según el reciente informe de BT sobre amenazas a la seguridad móvil. (Para obtener más información, descargue el resumen ejecutivo.)
Ninguna organización puede defenderse eficazmente por sí sola. La colaboración y las alianzas son cada vez más esenciales para la ciberseguridad. Para obtener la información más reciente, se necesita acceso a fuentes de información compartida sobre todo el panorama de amenazas. La iniciativa Cyber-Security Information Sharing Partnership (CiSP) de CERT UK es excelente. Las organizaciones comerciales también ofrecen servicios de inteligencia sobre amenazas. Busque uno que analice tanto fuentes abiertas como datos privados anonimizados y proporcione informes generales y análisis de las vulnerabilidades específicas de su organización.
Una de las mayores vulnerabilidades a las que se enfrentan las organizaciones no es tecnológica: es humana. A menudo, las personas son la causa de las brechas de seguridad, no de forma intencionada, sino simplemente por desconocimiento o descuido. El 10 % de los empleados ni siquiera protege con una contraseña sencilla la BlackBerry o el iPad que utiliza para trabajar. Más de la mitad no sabe cuál es la política de seguridad de su empresa sobre el uso de sus propios dispositivos en el trabajo, normalmente porque la empresa no tiene una (solo el 40 % la tiene) o porque no les ha formado al respecto.
Más de la mitad de las organizaciones no ofrece a todos sus empleados formación sobre su responsabilidad personal en materia de ciberseguridad. Si lo hicieran, no solo reducirían el riesgo de brechas de seguridad, sino que también ayudarían a mitigar sus consecuencias si llegaran a producirse. Pero una cultura de seguridad requiere liderazgo desde la dirección, con los ejecutivos dando ejemplo.
Las organizaciones no solo tienen demasiadas personas que no entienden la seguridad, sino que tampoco cuentan con suficientes personas que sí la entiendan. Hay una grave escasez mundial de competencias en ciberseguridad: solo el 26 % de las organizaciones cree disponer de recursos suficientes para prevenir una brecha de seguridad móvil.
Si no puede contratar suficientes profesionales de seguridad con las competencias adecuadas, una buena opción es aliarse con un socio que sí los tenga. Las alianzas permiten acceder mejor a la inteligencia y los conocimientos especializados necesarios, porque los especialistas en seguridad que trabajan con muchas organizaciones tienen una visión más completa y actualizada del panorama de amenazas emergentes. Las alianzas con sus propios clientes también ayudan, ya que pueden informarle de problemas ajenos a su ámbito de interés inmediato antes de que se conviertan en un problema. La inteligencia también puede compartirse con otros miembros de la alianza.
Los líderes de organizaciones de todo tipo deberían hacer estas tres preguntas a su responsable de seguridad:
¿Hasta qué punto estamos preparados para combatir las amenazas persistentes avanzadas?
¿En qué medida se aplica nuestra política de seguridad a nuestro propio personal mediante programas de formación y concienciación?
¿Tenemos acceso suficiente a información actualizada sobre las amenazas emergentes y las competencias para combatirlas?
Las respuestas quizá le den en qué pensar. Pero, al menos, al preguntar sabrá cuál es su nivel real de seguridad y no será uno de los CEO —el 69 %— que no se toman la ciberseguridad lo bastante en serio.
Autor: Luis Alvarez, CEO, BT Global Services
Imagen: En esta ilustración fotográfica tomada en Berlín el 21 de mayo de 2013, se sostiene una lupa delante de la pantalla de un ordenador. REUTERS/Pawel Kopczynski
