No se trata de si su empresa se verá afectada por la ciberdelincuencia, sino de cuándo y en qué medida. En la encuesta anual de riesgos del Business Continuity Institute, el 73 % de los encuestados incluyó las filtraciones de datos y los ciberataques entre las tres principales amenazas a las que se enfrentan sus empresas.
«Cada vez vemos más que los datos de todo el mundo se han visto comprometidos», afirma Alan Brill, director gerente sénior de Kroll Inc., una empresa de riesgos y seguridad con sede en Nueva York. O, para parafrasear al congresista estadounidense Mike Rogers: hay dos tipos de empresas: las que ya saben que han sido pirateadas y las que aún no lo saben.
El número de brechas cibernéticas fue un 62 % mayor en 2013 que el año anterior, según el Internet Security Threat Report 2014 de Symantec Corp. Y, según el Norton Report 2013 de Symantec, el coste directo mundial de la ciberdelincuencia ascendió a 113.000 millones de dólares, 3.000 millones más que en 2012.
«El riesgo cibernético debería estar en el centro de los demás riesgos de una organización», afirma Lori Bailey, directora global de Líneas Especiales de Zurich Insurance Group. «Si una empresa sufre un ciberataque, afectará a todos los aspectos de la organización: clientes, proveedores o vendedores, empleados. Por eso es de vital importancia que las empresas cuenten con sólidos planes de continuidad del negocio y desarrollen resiliencia frente a posibles ataques de este tipo».
Entre los riesgos se encuentran el robo de datos personales o financieros de clientes o empleados, la exposición a multas o demandas porque esos datos se hayan visto comprometidos, el robo de dinero, el robo de propiedad intelectual, los daños a la marca o la reputación, el escrutinio regulatorio, la pérdida de negocio o la interrupción de las operaciones.
Los distintos actores de amenazas persiguen objetivos diferentes y afectan de manera distinta a su organización. Los ciberdelincuentes buscan obtener beneficios económicos y buscan datos de tarjetas de crédito o información personal que puedan vender, afirma Lillian Ablon, investigadora de RAND Corp., un centro de estudios estadounidense. Es posible que competidores y algunos Estados-nación lleven a cabo espionaje industrial en busca de propiedad intelectual. Los Estados-nación menos sofisticados y los ciberterroristas o hacktivistas quieren derribar sistemas o sembrar el caos.
«Las empresas deberían preguntarse: “¿Quiénes son las amenazas que me tienen en la mira y qué vulnerabilidades buscan? ¿Cuáles de esas vulnerabilidades me afectarían más? Si me quitaran lo que más me importa, ¿qué impacto tendría en mí?”», afirma la Sra. Ablon. Podría ser objetivo tanto de actores cibernéticos poco sofisticados como de los más sofisticados.
«La gestión de riesgos es un proceso continuo», afirma el Sr. Brill. «Evolucionan las formas en que usamos la tecnología, ya sea la computación en la nube, los dispositivos móviles, BYOD [traiga su propio dispositivo] o traiga su propia nube. Esos elementos evolucionan y cambian su perfil de riesgo. El malware también cambia. La disponibilidad de nuevas formas de ciberdefensa y de nuevas modalidades de cobertura de seguros: todo está cambiando la manera en que las empresas pueden abordar un problema que no tiene solución».
La externalización también ha cambiado los riesgos. Las empresas suelen centrarse en la seguridad interna, aunque los problemas pueden entrar en su negocio a través de un socio que no sea tan cuidadoso. Hace poco, unos atacantes accedieron a la información de las tarjetas de crédito de los clientes de un gran minorista a través de su proveedor de calefacción y aire acondicionado. Otra empresa recibió una multa después de que un proveedor desechara datos financieros confidenciales en contenedores públicos de reciclaje. El riesgo no se limita a los datos: las empresas pueden sufrir interrupciones si un proveedor estratégico queda paralizado e incapacitado para cumplir con sus entregas como consecuencia de un ciberataque.
«Se está tratando con más niveles de organización: empleados, proveedores, contratistas y proveedores de servicios en la nube», afirma el Sr. Brill. «La infraestructura se ha vuelto un orden de magnitud más compleja. Como resultado, los riesgos cibernéticos también se han vuelto mucho más complejos, incluida la variedad de cosas que podrían salir mal y afectar a su negocio sin ocurrir dentro de él».
Aunque los ataques a grandes corporaciones atraen la atención de los medios, las pequeñas y medianas empresas ya no pueden confiar en la seguridad basada en la oscuridad. Lo mismo ocurre con las empresas cuyas operaciones son principalmente físicas y que tienen una presencia mínima en la Web: utilizan las tecnologías de la información e Internet de algún modo y, por tanto, están en riesgo.
Los ladrones cibernéticos tienen dos criterios, afirma la Sra. Ablon: por lo general, quieren un tipo concreto de datos, como números de tarjetas de crédito o propiedad intelectual, y buscan objetivos relativamente fáciles. Aunque las grandes empresas ofrecen mayores volúmenes de datos, si atacarlas resulta demasiado complicado, los piratas informáticos se dirigirán a presas más fáciles. Algunos seleccionan a sus víctimas y planifican cuidadosamente sus ataques, mientras que otros actúan a gran escala y envían malware a cientos o miles de destinatarios en cuanto se descubre una vulnerabilidad, con la esperanza de infiltrarse antes de que se corrija el punto de entrada: una red que puede atrapar por igual a peces grandes y pequeños.
En 2013, las grandes empresas fueron objeto del 35 % de los ataques dirigidos, como el phishing selectivo, según Symantec, mientras que las empresas medianas representaron el 31 % y las pequeñas, el 30 %.
La ciberseguridad puede parecer una tarea hercúlea. Sin embargo, reducir el riesgo cibernético es similar a reducir otros riesgos empresariales: hay que entender cómo se relacionan los riesgos cibernéticos con todos los aspectos del negocio y con lo que queda fuera de este, y luego desarrollar resiliencia.
«La gente compra tecnología y, dos años después, cree que todavía la protege», afirma Jim Jaeger, estratega jefe de servicios cibernéticos de General Dynamics Fidelis Cybersecurity Solutions. Pero lo que ayer era seguro puede ser objeto de ataques mañana. De hecho, los sistemas heredados y el software antiguo pueden ser peligrosos porque ya no se actualizan. «Sin que usted haga nada, un sistema que era seguro la semana pasada puede ser inseguro esta semana, porque se ha descubierto una nueva vulnerabilidad en una de las herramientas que utiliza. El mayor riesgo de los sistemas heredados es la complacencia», afirma el Sr. Brill, de Kroll.
Antes se consideraba suficiente defender únicamente el perímetro de la red, pero el aumento de las interconexiones con terceros —desde vendedores y proveedores hasta clientes y los teléfonos inteligentes BYOD de sus propios empleados— significa que el perímetro está lleno de brechas.
Un sistema de detección de intrusiones debería analizar no solo lo que entra en la red, sino también lo que la atraviesa o sale de ella, porque ahí también hay riesgos. «Si se centra únicamente en el malware, se ata una mano a la espalda», afirma el Sr. Jaeger. «Una vez dentro, los piratas informáticos utilizarán las herramientas que usted usa para desplazarse por la red. Por eso también hay que observar lo que ocurre dentro de la red».
Además, la mayoría de los ataques avanzados o dirigidos no se hacen visibles durante semanas o incluso meses. «El atacante intentará encontrar el momento más adecuado y esperará hasta poder extraer la información más valiosa», afirma Christophe Nicolas, vicepresidente sénior de Kudelski Security, la división de ciberseguridad de Kudelski Group SA. «Por eso es necesario vigilar constantemente para detectar intentos de ataque o comportamientos anómalos en la infraestructura informática».
La mayoría de las empresas se enteran de las brechas por fuentes externas: un cliente o proveedor les informa de un error, como un fallo de facturación, o las fuerzas del orden encuentran información sobre una brecha en las redes que vigilan. Mandiant, una unidad de la firma de ciberseguridad FireEye Inc., descubre que las organizaciones han estado comprometidas durante un promedio de 229 días antes de darse cuenta de una brecha, afirma Charles Carmakal, director gerente de Mandiant.
De hecho, los intrusos pueden desarrollar y probar varias generaciones de malware dentro de la red de la víctima antes de aprovechar el momento justo para robar información, afirma el Sr. Jaeger, de Fidelis. «El uso de tarjetas de crédito se triplica como mínimo durante la temporada de compras navideñas, desde justo antes del Día de Acción de Gracias hasta Año Nuevo, lo que la convierte en un período lucrativo para los piratas informáticos», afirma. Esto dificulta detectar un aumento de la actividad y, además, proporciona una cosecha abundante de datos de tarjetas de crédito que pueden robarse.
En lugar de depender exclusivamente de herramientas de detección para identificar incidentes de seguridad, también es necesario que haya personas que busquen señales de compromiso que el software podría pasar por alto, como empleados que inician sesión a horas inusuales, indicio de que podrían haberles robado las credenciales. Los atacantes sofisticados, como los grupos del crimen organizado o los gobiernos extranjeros, «actuarán con relativa discreción y lentitud, por lo que las soluciones tradicionales de seguridad y antivirus no detectarán la actividad», afirma el Sr. Carmakal. «Pero si se empieza a buscar a esos actores de amenazas, hay muchas cosas que hacen que generan bastante ruido».
Otra forma de buscar amenazas, afirma el Sr. Nicolas, es vigilar lo que se vende en el mercado negro: ¿se ofrece allí su propiedad intelectual o los datos de sus clientes?
Crear una lista de aplicaciones o sitios seguros es más fácil y eficaz que intentar mantenerse al día con una lista negra de los prohibidos, sobre todo en un mundo tecnológico que cambia rápidamente. Esto puede ser útil al tratar con proveedores o vendedores. «No le hará inmune a los ciberataques, pero es un enfoque más manejable que elaborar listas negras», afirma la Sra. Bailey.
Las empresas también pueden vigilar e impedir cambios no autorizados en el entorno de TI. La idea es similar a las listas blancas: nada permanece ni se ejecuta en el entorno si no se conoce y se aprueba. Los productos de software de supervisión de la integridad de los archivos o de gestión de la configuración comparan constantemente los archivos y ajustes del sistema con versiones de referencia aprobadas y emiten alertas siempre que detectan cambios en esas referencias.
Algunos atacantes entran en el sistema utilizando credenciales robadas a empleados o proveedores. Debe exigirse a los empleados con privilegios elevados un nivel de autenticación más riguroso cuando realizan tareas administrativas. Para esas actividades deben utilizar una cuenta administrativa aparte, no la cuenta habitual, con autenticación de varios niveles y supervisión especial de las acciones realizadas desde las cuentas administrativas.
«Las personas con privilegios administrativos suelen tener mucha libertad dentro del sistema», afirma la Sra. Bailey. «Mantener el control y limitar el número de estas personas reduce la posibilidad de que los empleados accedan a información que no deberían tener».
Segmentar la red dificulta que los intrusos se desplacen lateralmente por ella si consiguen establecer un punto de apoyo inicial, afirma el Sr. Carmakal, de Mandiant. ¿Necesita el departamento de compras acceder a los datos de los clientes? ¿Necesita recursos humanos acceder a sus diseños más recientes y a su propiedad intelectual? Si no, mantenga sus sistemas de TI separados.
Los activos más valiosos de su empresa podrían estar en el teléfono inteligente de un empleado, afirma el Sr. Nicolas, de Kudelski. «Pueden ser más valiosos que algunos de sus activos físicos. Empiece por evaluar los activos que desea proteger: cuáles son sus joyas de la corona. Puede que algunas personas no sepan dónde están ni si están protegidos».
Si algo es realmente importante, el riesgo de que lo pirateen desaparece si se aísla y se mantiene sin conexión. «No se puede piratear algo a lo que no se puede conectar», afirma Larry Collins, vicepresidente de E-Solutions de Zurich Insurance Group. «¿Qué datos tengo tan sensibles que no pueden conectarse a nada más? Si soy diseñador, quizá los ordenadores que uso para diseñar no deberían tener conexión a Internet. Simplemente, no los conecte».
El equipo de TI necesita formación periódica para mantenerse al tanto de las últimas amenazas, no solo para gestionar la seguridad, sino también para poder formar al conjunto más amplio de empleados. Puede informar a sus proveedores —puntos de entrada en algunos casos recientes de piratería— examinando sus medidas de ciberseguridad, contratando a otra empresa para que lo haga o exigiendo auditorías independientes de ciberseguridad, afirma la Sra. Ablon.
La actitud de las empresas hacia la tecnología ha sido «“tengamos funcionalidad, tengamos productividad”, en lugar de “tengamos seguridad”», afirma.
En realidad ocurren situaciones propias de las novelas de suspense: los atacantes dejan memorias USB infectadas en el aparcamiento de empleados para que alguien recoja una, la conecte para averiguar quién es su dueño y, sin querer, active el malware en el sistema, advierte el Sr. Brill, de Kroll.
Tradicionalmente, los correos electrónicos de phishing eran fáciles de reconocer: la mala gramática o un asunto inusual solían alertar a los destinatarios de que el mensaje no procedía realmente de un amigo o colega. Pero estos atacantes son cada vez más sofisticados y hay que alertar a los empleados sobre las últimas amenazas para que no permitan inadvertidamente que un atacante entre en el sistema.
Los empleados que viajan deberían evitar llevar sus dispositivos personales o corporativos a ciertos países. El Sr. Nicolas cuenta que analizó la cámara de una persona que había viajado por el mundo durante tres meses: Kudelski encontró 4.000 virus en la memoria flash, que se habían introducido en cibercafés donde el viajero había ido a enviar por correo electrónico fotos a casa.
Las nuevas aplicaciones tecnológicas y la creciente interconectividad de los dispositivos ofrecen «beneficios tan grandes que prevalecen sobre esas preocupaciones de seguridad», coincide el Sr. Collins, de Zurich. «Eso tiene que cambiar. La seguridad debe tenerse en cuenta. No es algo que se resuelva de una vez para siempre».
Publicado en colaboración con Zurich Knowledge Hub
Autoría: Catherine Bolgar trabajó durante 12 años como editora en The Wall Street Journal. Desde que dejó el Journal hace dos años para mudarse al sur de Francia con su familia, Bolgar trabaja como escritora independiente.
Imagen: Una ilustración muestra la proyección de un código binario sobre un hombre que sostiene una computadora portátil, en una oficina de Varsovia, el 24 de junio de 2013. REUTERS/Kacper Pempel.
