¿Es necesario invertir en seguridad de la información?

“Tranquilo, somos una empresa chica. Solo hackean a las grandes”. “No te preocupes, a nosotros nunca nos va a pasar, si no somos un banco”. “Ya tenemos antivirus, ¿para qué más?”. “No tenemos información importante que pueda ser de interés de terceros”. Todo especialista en ciberseguridad ha escuchado en algún minuto alguna de estas excusas al presentar un presupuesto.

Con la expansión que últimamente han tenido la tecnología y las comunicaciones, el mundo empresarial ha optado por mover gran parte de sus operaciones al mundo digital. Ya sea mediante el uso de planillas u hojas de cálculos, correos electrónicos, mensajería instantánea o sistemas personalizados internos que facilitan las operaciones diarias, esta ‘migración’ en general ha sido beneficiosa, pero también ha traído consigo múltiples potenciales riesgos.

Pero antes de entrar más en detalle, es importante revisar cuales son los principales pilares comprendidos en lo que se entiende por ‘seguridad de la información’. En primer lugar, dado que la tecnología ha permitido centralizar información, es importante asegurar que esta siempre se encuentre disponible (Disponibilidad, primer pilar básico). Enseguida, no es suficiente que dicha información se encuentre fácilmente a la mano, sino que además es necesario asegurar que esta solo sea accedida por personas expresamente autorizadas (garantizando su Confidencialidad, segundo pilar fundamental). Por último, es importante que la misma se mantenga inalterada frente a cualquier incidente (cumpliendo con el requisito de Integridad, ultimo pilar base). Si alguno de estos pilares es afectado por cualquier razón, la confianza en la veracidad de la información se pierde.

Debido a esto, el gran objetivo de la seguridad de la información es garantizar que la información de cualquier empresa se mantenga disponible, inalterada y protegida en todo momento. Para ello, esta no solo cuenta con sistemas y softwares específicos, sino que también con otro tipo de herramientas y acciones, como el establecimiento de políticas, normativas o procedimientos internos, que permitan guiar y estandarizar el comportamiento de sus trabajadores, la instalación de antivirus, la implementación de IDS e IPS, la implementación de firewalls, la instalación de controles de contraseñas y controles de acceso físico, entre otras.

A la hora de implementar sistemas internos de ciberseguridad, es importante siempre saber que recurrir a una sola opción no garantizará una debida protección de datos. Al efecto, es necesario recurrir a una estrategia ‘holística’, en la cual se implementen distintas herramientas, como las mencionadas anteriormente. Esto es conocido como una estrategia de seguridad ‘por capas’, donde, en cada salto de ‘capa’ se agrega una nueva forma de protección, comenzando desde la protección física de las instalaciones hasta la protección del dato mismo que genera la información.

Este tipo de estrategias es lo que muchas empresas desconocen, quedando expuestas a potenciales incidentes como los siguientes:

• Ataques Internos, en los cuales personas de la misma organización, voluntaria o involuntariamente, eliminan, modifican y/o desclasifican la información de la empresa; y
• Ataques Externos, los cuales pueden ser a su vez focalizados o no focalizados. En general, en su gran mayoría este tipo de ataques son no focalizados, es decir, no van destinados a una empresa específica, sino que se propagan a través de la red, intentando infectar la mayor cantidad de dispositivos posibles (como en los casos de los phishing y los ransomeware).

Hay que tener presente que en este último tipo de ataques (no focalizados) un atacante no se preocupa del rubro ni del tamaño que podrían tener sus potenciales víctimas al momento de actuar. Los malwares (ej. virus, troyanos, etc.) se liberan a la red con la esperanza de que alguien caiga. Si uno de estos resulta ser una empresa chica, sin información ‘interesante’, no todo está perdido. Sus servidores pueden ser transformados en ‘bots zombies’ con los cuales realizar nuevos ataques en el futuro.

Dado lo anterior, es importante que las empresas comiencen a recapacitar y a tomar más en cuenta esta situación. Algunas recomendaciones prácticas a considerar para comenzar son:

• Inversión en capacitación/concientización: Es fundamental hacer ver a los trabajadores que ellos son un eslabón más en la cadena de seguridad. Para ello, estos deben estar capacitados en los posibles ataques que pueden llegar sufrir y cómo actuar ante ellos;
• Inversión en prevención: Enseguida, es importante implementar lo que se podría entender como herramientas ‘no técnicas’ para mitigar los ataques ya mencionados (internos y externos), dentro de las cuales se encuentran los distintos tipos de políticas (ej. políticas de contraseñas seguras, de respaldo de información, de uso de dispositivos propios, de uso dispositivos móviles, entre otras); y,
• Inversión en seguridad: Finalmente, puede hacer la diferencia implementar adicionalmente las herramientas ‘técnicas’ tales como sistemas de antivirus, sistema de detección de intrusos y tecnología SIEM (que permite revisar varios registros y poder detectar anomalías). Aquí es crucial tener en cuenta que la idea no es comprar tecnología simplemente por comprar. Hay que hacerlo considerando las necesidades, características y debilidades de cada empresa y su rubro particular.

La tecnología no para de evolucionar, y junto a ella surgen también nuevas formas de ataque. En los años ’90, el simple hecho de tener antivirus bastaba para erradicar el 99.9% de las amenazas en internet, pero hoy ya no es el caso. Un estudio por parte de Kasperky Lab y B2B, expuso que en el 2017 los ciberataques costaron más de 1.3 millones de dólares a empresas norteamericanas. Chile no está alejado de esta realidad. Según la empresa Kepler, los ciberataques en el país crecieron en un 40% a noviembre de 2017, y en un 60% a noviembre de 2018.

El robo de información es lamentable, pero hay medidas concretas que las empresas pueden tomar para evitarlo o mitigar sus efectos. Es fundamental tener en cuenta también que la información que una empresa maneja no es sólo la propia. Recuerde que los datos de sus clientes, quienes depositan su confianza en ellas, también forman parte de su información confidencial. Si alguna de ellas es atacada y esa información es robada, puede que la referida empresa se recupere de la pérdida monetaria que dicha incidencia produzca. Pero la confianza y el daño reputacional que ella sufra será más difícil de recobrar.

Fuente
https://www.linkedin.com/pulse/es-necesario-invertir-en-seguridad-de-la-informaci%C3%B3n-bravo-lara/