Estrategia en Ciberseguridad, lo mejor es la concientización

Es el cierre anual del 2018 y cómo años anteriores Juan y su equipo de trabajo se concentran en solicitar a todos sus proveedores las ultimas ordenes de compra que se procesarán este año. El día a día se desarrolla como es de costumbre: largas conferencias, reuniones empalmadas y un sin fin de correos que saturan los buzones de entrada con solicitudes urgentes. –“Es cuestión que pase la posada de la empresa y todo volverá a la normalidad”- pensaba Juan, mientras intentaba repetidamente sin éxito abrir un archivo adjunto en el correo de un supuesto proveedor que no lograba identificar y que urgentemente le solicitaba imprimir y llenar el archivo adjunto para procesar un pago.

¿Te resulta familiar este escenario?  ¡Claro! y que mejor que terminar todos nuestros pendientes antes de la temporada de fiestas y cierre de año. Sin embargo, para quienes nos dedicamos a proteger a las organizaciones es cuestión de tiempo para que la empresa de Juan se convierta en víctima de uno de los ataques que más han impactado este 2018 en México. Conocido como ingeniería social este tipo de amenazas afectan a cualquier empresa conectada a la Internet, abordando al eslabón más débil en la cadena de seguridad de las organizaciones. 9 de cada 10 ataques que se realizan hacia una organización, se basan en aprovechar el elemento de fallo humano. Los cibercriminales ahora son expertos en identificar el mejor momento y tienen la facilidad de adquirir software malicioso diseñado a la medida de cada objetivo, aprovechando herramientas de fácil acceso que permiten lanzar de forma sistemática y preparada sus campañas de ataque hacia las áreas más expuestas en los momentos y temporadas cruciales para la organización. 

Correos electrónicos con archivos adjuntos que son idénticos a los que recibimos todos los días, paginas web con capacidad de instalar software malicioso e inclusive ataques que se pueden realizar por medio de mensajes instantáneos. Nuestra empresa -así como la empresa de Juan- se puede enfrentar a ataques de ransomware que secuestran la información solicitando el pago de un rescate, el robo de identidad e información confidencial, así como la alteración de registros de información afectan negativamente a la empresa, haciendo que esta pierda su credibilidad ante sus clientes.

Ante este tipo de amenazas, los controles tecnológicos por si solos no pueden contener los ataques antes mencionados. Las herramientas, tácticas y técnicas que los cibercriminales conocen, evolucionan y mejoran con el tiempo. Si bien disponer de controles que protejan cada aplicación y proceso de negocio de la empresa es una forma de mitigar el riesgo, se debe culturizar al usuario final ante este tipo de amenazas mediante un programa de concientización en seguridad informática. Es importante que previo al esfuerzo de implementar estos controles se identifique la mejor estrategia de seguridad que se adapte al negocio y que su adopción refleje en la organización ese compromiso. Si tu eres una persona que tiene injerencia en los procesos de seguridad de tu empresa, evita que tu empresa se convierta en la empresa de Juan y busca asesorarte con un experto en ciberseguridad, que te recomiende las mejores opciones en cuanto a marcos de gobierno de seguridad de las organizaciones y que además te brinde una clara estrategia de cultura de seguridad, que se adapte mejor a tu negocio.

Escrito por Eleazar Fuentes (CISSP, CISM, CISA, CEH, CHFI, CompTIA Security+, CySA+, CSAP)
Director de Ciberseguridad en Quanti Solutions
Articulo para la revista TNE