Ciberseguridad: aprender más para evitar el peligro

La ciberseguridad va a seguir siendo en 2018 una de las prioridades que las empresas deberán afrontar si quieren evitar grandes daños en sus negocios. Y, como suele decirse, de los errores también se aprende. Por eso, Trend Micro ha analizado algunos de los acontecimientos más importantes que han tenido lugar en 2017 en esta materia, con la vista puesta en fortalecer los sistemas para los próximos doce meses.

Esta compañía, especializada en soluciones contra amenazas en la web, recuerda que se han producido incidentes geopolíticos, amenazas de malware global y omnipresentes brechas de datos en las que se han visto involucrados grandes compañías. "Desde las filtraciones de CIA Vault7 y NSA Shadow Brokers, a las campañas de ransomware WannaCry y NotPetya, o a las impactantes revelaciones de Uber del mes pasado, los CISO (Chief Information Security Officer o director de seguridad de la información) españoles han tenido mucho material sobre el que reflexionar", señala.

Esta firma considera que puede ser útil, ahora que estamos estrenando 2018, recapitular cinco sucesos de los que se pueden extraer conclusiones. Son éstos:

1.- El ransomware evoluciona. Desde hace varios años, el ransomware ha causado importantes "dolores de cabeza" a las organizaciones. Pero en 2017 ha sido cuando hemos visto la amenaza utilizada de una manera sin precedentes para causar el caos a una escala global. Los ataques WannaCry y Petya/NotPetya de mayo y junio pusieron de relieve cómo el ransomware podría emplearse en combinación con los exploits desarrollados por los Estados para extenderse de forma sorprendente a través de las redes. Bad Rabbit nos mostró otra variante sobre este tema, diseñada para infectar a las víctimas a gran escala usando ataques watering hole.

Estos incidentes nos han enseñado la importancia de "aplicar parches para reparar las vulnerabilidades" conocidas tan pronto como se disponga de una solución, y advirtieron lo que puede suceder cuando los gobiernos buscan socavar la seguridad de cientos de millones de usuarios investigando exploits en los programas de software más populares.

2.- BEC está costando miles de millones a las empresas. Actualmente, de todos los riesgos relacionados con el mundo 'ciber' a los que se enfrentan las organizaciones en la actualidad, el Compromiso del Email Empresarial (BEC) parece ser uno de los más fáciles de reducir. Sin embargo, según el FBI, las pérdidas registradas en el período que va desde octubre de 2013 a diciembre de 2016 superaron los 5.300 millones de dólares. Trend Micro prevé que esta cantidad aumentará hasta los 9.000 millones de dólares el próximo año a medida que las organizaciones continúen mostrando cuán expuestos están su personal y sus procesos a la ingeniería social.

"Puede que no haya malware que detectar en la mayoría de las estafas BEC, pero con una plantilla mejor formada y concienciada, y algo tan simple como garantizar que dos miembros senior del departamento financiero autoricen y firmen las grandes transferencias de fondos, las organizaciones pueden aislarse mejor", apunta.

3.- Empresas de gran renombre siguen cometiendo errores de novatos... todavía. En los últimos 12 meses se ha visto otro listado de organizaciones que "deberían haber conocido mejor" que sufren daños por brechas datos e incidentes de privacidad. Yahoo (3.000 millones), Uber (57 millones) y Equifax (145,5 millones) son algunas de las que nos vienen a la mente como los ejemplos más clamorosos de empresas que tenían los recursos, pero no la cultura corporativa correcta o la estrategia para mantener a raya a los hackers.

"Estos incidentes nos dicen una vez más que las empresas aún no tienen los conceptos básicos en materia de ciberseguridad, y están fallando a la hora de extender las políticas a los partners y proveedores".

4.- El cumplimiento de GDPR aún no está funcionando. A medida que avanza el año, el reloj también lo ha hecho y no se parará hasta el 25 de mayo de 2018, fecha en que finalmente entrará en vigor el Reglamento General de Protección de Datos (GDPR) de la UE. Es difícil recordar una ley nueva con implicaciones de ciberseguridad y privacidad de tan gran alcance para las empresas. Sin embargo, "la falta generalizada de conocimiento y la aceptación de cúpula directiva siguen siendo preocupantes, a pesar de las altísimas multas que están a la vista por incumplimiento. Gartner estima que menos de la mitad de todas las empresas cumplirá totalmente antes de la fecha límite.

Una reciente investigación de Trend Micro reveló una "inquietante falta de interés" por parte de ejecutivos de nivel-C: los altos ejecutivos eluden la responsabilidad en el 57% de las empresas. "Las compañías necesitan entender y conocer mejor qué datos tienen, crear un plan de notificación de brechas e invertir en tecnologías más avanzadas para mantener a raya las amenazas", recomienda.

5.- Del IoT al cloud, las vulnerabilidades seguirán siendo el talón de Aquiles. Las vulnerabilidades son una de las mayores amenazas a la seguridad a las que se enfrentan las empresas. No importa si se encuentran en el firmware del dispositivo IoT, las aplicaciones web, en el software de las instalaciones físicas o en su infraestructura cloud; si hay un agujero explotable en su entorno informático, éste podría ser el objetivo.

Los CISO deben asegurarse de "contar con un enfoque integral y automatizado" para la administración de parches y la agilidad para responder de manera rápida y efectiva a cualquier amenaza descubierta recientemente.