Columna escrita por Sebastián Stranieri, CEO de VU Security.
En los últimos meses, la aerolínea EasyJet sufrió un ciberataque que dejó expuesta la información personal de millones de sus clientes, y la japonesa Honda fue víctima de la interrupción global de sus servicios por un ataque interno. Estos y otros cientos de ataques que aún no han sido revelados o detectados reflejan correctamente el panorama generado desde que inició la pandemia, la cual obligó a muchas empresas a tomar distintos tipos de acciones.
En todo el mundo, las organizaciones han respondido cerrando sus puertas o bien, acelerando su proceso de transformación digital. En estos términos, se están viendo dos alternativas. Por un lado, las que ya habían comenzado sus procesos de transformación digital, que podrán ejecutar sus planes gracias a los obstáculos eliminados por el nuevo contexto. Y por el otro, las que postergaron o subestimaron su transformación y hoy tratan, a contrarreloj, de adecuarse para sobrevivir. De ellos, es importante enfocarse en el segundo grupo y los riesgos que esto trae desde el punto de vista de la seguridad informática.
La identidad digital es, sin dudas, el centro de cualquier proceso de transformación digital. Es la pieza clave que permite disponibilizar nuevos servicios y la que permite a cualquier ciudadano utilizar cualquiera de ellos rápidamente. Ahora bien, es muy probable que aquellas compañías que no tenían la digitalización en sus planes hoy estén forzando este proceso, sumando alguno de los siguientes escenarios:
- Sistemas SaaS independientes a la estructura tecnológica. Modelo rápido para disponibilizar nuevos canales digitales de atención. Tiene un alto riesgo de descentralizar la información respecto a operaciones comerciales y la información privada de los clientes.
- Procesos manuales a través de canales digitales. Muchos creen que, porque ahora autorizan una operación por email, esto significa transformarse digitalmente. Probablemente este tipo de acciones puedan ser utilizadas como fuentes de datos para posibles atacantes, pero también podría estar en contra de las regulaciones y normativas vigentes, dependiendo del sector empresarial.
- Habilitar trabajo remoto sin controles. Miles de compañías han incorporado el trabajo remoto como una necesidad justificada, pero a pesar de los meses transcurridos, no han realizado las suficientes inversiones o investigaciones para comprobar los niveles de riesgo en dispositivos que son utilizados con al menos una decena de credenciales diferentes para consumir servicios.
Ahora bien, la ciberseguridad es el tipo de área que es transversal a toda la compañía y hoy se constituye en la responsabilidad máxima de resguardar la continuidad del negocio y salvaguardar la reputación de la marca. Pero, ¿cuáles son las máximas a tener en cuenta en esta carrera contrarreloj?
- Identidad digital. Cada ser humano debería poder operar un sistema digital sin la obligación de recordar frases complejas ni aprender a utilizarlos cada vez que interactúa con uno de ellos. Por otra parte, todas las personas cuentan con una identidad que se nos asigna cuando nos “registramos” en la vida, la cual debería ser la base para acceder a cualquier medio digital.
- Trazabilidad del consentimiento. Toda empresa debería contar con un sistema que permita auditar el cuándo y el qué del consentimiento brindado por un cliente/ ciudadano/ usuario. Al mismo tiempo, el sistema debe permitir actualizar cualquier condición y solicitar y registrar un nuevo consentimiento.
- Derecho al olvido. Toda plataforma de intercambio de información digital tendrá que implementar de forma efectiva y sencilla una funcionalidad para que, cada usuario, sin necesidad de recordar o tener algo en su poder que lo identifique, pueda darse de baja completamente o bien, solicitar los registros sobre su persona sin limitación.
- Resiliencia del negocio. Calcular cuál es el costo de detener el negocio de un momento a otro no suele ser simple, pero, en esta época basada en lo digital, es crucial tenerlo claro. Este indicador debería utilizarse como punto de partida a la hora de estipular las tareas y planes a ejecutar para lograr que esa interrupción sea lo más pequeña posible ante un ataque o brecha de información.
- Complejidad de los ataques. La distribución de los equipos de trabajo genera, como consecuencia inevitable, un incremento de los vectores de ataques para todo tipo de organización. Por ende, si el equipo no está capacitado para ello, puede ser extremadamente difícil identificar ataques de ransomware, spear phishing y técnicas de ingeniería social, debido a la complejidad que presentan en la actualidad.
Un enorme porcentaje de organizaciones tiene recursos limitados en esta área, por lo que es fundamental invertir y esforzarse en brindar capacitaciones y entrenamiento para enfrentar, como un todo unificado, cualquier tipo de ataque o amenaza informática. De lo contrario, algunas de las consecuencias que podríamos enfrentar son:
- Daño a la reputación. Daño online irreversible al historial de nuestra marca. Una vez que un caso de filtración de datos o daño a nuestros clientes es llevado al mundo online, es casi imposible borrar esa huella.
- Interrupción de servicios. La mayoría de las brechas de seguridad obligan a la organización a cerrarse íntegramente para realizar una evaluación de daños y modificar los controles para evitar un nuevo ataque. Según VU Labs, una empresa que ha sufrido un ataque casi indefectiblemente será víctima de otro incidente de seguridad en los siguientes 6 meses.
- Severas multas. Dependiendo de la región en la cual la organización esté radicada y el origen de sus clientes, puede recibir multas millonarias por problemas de privacidad y confidencialidad de datos.
Un plan de ciberseguridad no es algo que uno o una empresa pueda agregar al final de un proyecto, ni que se pueda incorporar una vez que haya ocurrido un incidente. Tampoco es una herramienta certera y eficaz 100% una vez implementada; cualquier implementación tecnológica merece iterar una y otra vez hasta lograr la madurez necesaria para acompañar al negocio al mismo tiempo que brinda confort y seguridad.
En esta nueva versión del mundo, la ciberseguridad tiene que ser una parte crucial de cada célula de trabajo, tiene que estar integrada al negocio y ser transversal a la organización. La economía digital demanda que estemos 100% online, lo cual exige que, ante un ataque o incidente de filtración de información, tengamos claro cuán rápido podemos responder y cuán rápido podremos recuperarnos del mismo.