Según el Identity Theft Resource Center, las brechas de seguridad alcanzaron un máximo histórico en EE. UU. el año pasado, con unos 675 millones de registros afectados. Más del 30 por ciento de estas brechas afectaron al sector empresarial, incluidos algunos de los comercios más reconocidos, como Neiman Marcus, Goodwill Industries, P.F. Chang’s y Dairy Queen.
Aunque algunos comercios están adoptando una actitud más proactiva en cuestiones como el cumplimiento de las normas de seguridad de la industria de tarjetas de pago (PCI), ¿son suficientes esas normas? ¿Por qué deberían cumplirlas? Y, aún más importante, ¿por qué les resulta tan fácil a los hackers encontrar vulnerabilidades y acceder a la información de las cuentas?
Estas y otras verdades incómodas quedaron al descubierto durante una reciente emisión de SAP Radio, «La seguridad de los datos en la era de las brechas de tarjetas de crédito».
Vigilancia frente a las amenazas
Solo en Norteamérica hay miles de millones de dólares en fraude, y esa cifra se multiplica significativamente a escala mundial; por eso, los hackers siempre buscarán vulnerabilidades, según Richard McCammon, de Delego Software.
«Van tras quienes no cuentan con controles para el comercio electrónico», dijo McCammon.
Aunque esta táctica astuta pueda parecer que da ventaja a los hackers, no debería llevar a las empresas a pensar que las brechas de datos son inevitables, según Hillel Zafir, cofundador y presidente de HMS Technology Group.
«La prevención de brechas debería ocupar un lugar prioritario en las iniciativas de marketing, negocio y seguridad de cualquier comercio», dijo Zafir. «Si se convierte en un objetivo mucho más difícil, los hackers irán tras otra persona».
Gerlinde Zibulski, directora de Seguridad y Gestión de Identidades en SAP, cree que todas las empresas pueden combatir a los hackers gracias a los avances de la computación en la nube de los últimos años.
«Algunos de nuestros clientes dicen que las implementaciones en la nube de hoy son mucho más seguras —más seguras que las implementaciones locales—», dijo Zibulski. «Es un comentario interesante. Sin duda, la tecnología ha mejorado, especialmente en materia de seguridad».
Establecer la norma
Creadas por las seis principales compañías de tarjetas de crédito, las normas PCI mencionadas también se están reforzando en la lucha contra la ciberdelincuencia. Pero, como ocurre con cualquier iniciativa de normalización, el cumplimiento es fundamental.
«Cuando no se cumplen las normas, acabamos con estas enormes brechas», dijo McCammon. «Una vez que se produce una brecha, hablamos de multas de cientos de miles de dólares; en algunos casos, pueden llegar a millones. Basta con algo tan simple como dejar un router con la contraseña predeterminada».
Pero, según Hillel Zafir, de HMS Technology, las normas PCI no son la única respuesta para combatir la ciberdelincuencia. De hecho, Zafir cree que hay que hacer mucho más para que se tomen en serio.
«Los bancos no se comunican de forma proactiva con los comercios, y las pasarelas y los procesadores que intervienen no tienen ni idea de cuáles son las reglas ni de cómo hacerlas cumplir», dijo Zafir. «Para ellos, basta con rellenar un par de formularios y decir: “De acuerdo, cumplo con PCI”».
Aunque a PCI todavía le queda mucho por hacer, Zafir ve grandes posibilidades en la tecnología de «tokenización» que utilizan Apple Pay y Google Wallet.
«Esos números que se transmiten a los bancos son números de tarjeta de un solo uso que no se pueden volver a utilizar, lo cual es una excelente manera de sortear problemas de seguridad», dijo Zafir.
Más allá del cortafuegos
Aunque instalar y mantener un cortafuegos es uno de los pilares de una buena seguridad de red, este tipo de «seguridad perimetral» está bastante desfasado, según Zibulski, de SAP.
«Es un concepto medieval. Todos los que están fuera son malos y todos los que están dentro son buenos».
Zibulski advierte que, si toda la comunicación está sin cifrar, básicamente se están enviando en texto sin formato, a través de la red, las contraseñas de los administradores de tarjetas de crédito y de quienes trabajan con los sistemas. Y a los hackers les resulta muy fácil hacerse con esas contraseñas.
«Los requisitos de PCI deben ser mucho más estrictos y hacerse cumplir más de lo que se hace ahora», dijo Zibulski. «Si no se observan por completo y las personas no cumplen plenamente, se plantea un problema».
Este artículo se publica en colaboración con SAP. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para mantenerse al día con Agenda, suscríbase a nuestro boletín semanal.
Autor: Tim Clark es el responsable de periodismo de marca de Marketing y Comunicaciones Globales de SAP.
Imagen: Una ilustración muestra la proyección de un código binario sobre un hombre que sostiene una computadora portátil en una oficina de Varsovia. REUTERS/Kacper Pempel
