Ciberseguridad: más nos vale tomar nota
Con la gente trabajando en casa, la vulnerabilidad de los sistemas se ha multiplicado. Iván Campos, experto en ciberseguridad de la firma de servicios profesionales Deloitte nos cuenta sobre los retos de las empresas y cómo los han enfrentado.
Por: Ulises Navarro
Continua en la historia
Desliza a la izquierda para continuar
Iván Campos
Socio de la práctica de Cyber Risk
en Deloitte Spanish Latin America
Hasta el mes de abril de 2020, el proveedor de tecnología y conectividad, Cisco, había detectado 120,000 dominios relacionados con la enfermedad de COVID-19. El 75% de esos dominios eran maliciosos y buscaban robar la identidad de los usuarios, extraer datos bancarios y claves de acceso a redes sociales mediante virus troyanos. Durante la pandemia también han ocurrido numerosos ataques a plataformas de video y conferencias, además de estafas reportadas de parte de usuarios por 12 millones de dólares.
Asimismo, ha habido un incremento exponencial de correos spam, que se aprovechan de las personas para promover ofertas falsas o solicitar que accedan a links con el pretexto de actualizar datos de bancos o de servicios de primera necesidad, como luz o gas.
El home office también representa un riesgo. Cuando los empleados estaban en las oficinas, era mucho más sencillo centralizar las soluciones de protección y establecer barreras a nivel de red. Con la gente trabajando en casa, la vulnerabilidad de los accesos se multiplica.
Para hablar sobre este tema, platicamos con Iván Campos, socio de la práctica de Cyber Risk en Deloitte Spanish Latin America.
AN | ¿Las compañías asentadas en México estaban listas para hacer un home office seguro? ¿Cuáles son los principales riesgos a los que se han enfrentado?
Tengo el privilegio de servir a muchas de las grandes empresas en México y la verdad es que muchas ni siquiera tenían un piloto para el trabajo remoto. El home office ha sido todo un problema no solo desde el punto de vista de seguridad, sino de la operación. ¿Cómo llevar toda tu operación de un esquema tradicional a un modelo remoto en pocas semanas? La mayoría de las compañías privilegió la continuidad de la operación, dejando un poco de lado la seguridad en muchos casos.
Los principales riesgos empezaron a presentarse al inicio, como la falta de control en los accesos. Muchas empresas tuvieron que abrir sus sistemas internos, pero no contaban con políticas de seguridad adecuadas. Esto representó un riesgo de pérdida de información y de confidencialidad.
Al mismo tiempo, muchos hackers empezaron a generar aplicaciones y correos con información falsa sobre la COVID-19, que en realidad eran malware o ransomware (secuestro de datos). Esto puso en riesgo la operación de las empresas.
También hubo fugas de información. De repente, todos los datos almacenados dentro de los sistemas de las empresas comenzaron a distribuirse por las computadoras de los hogares de los empleados, y sin medidas de seguridad confiables.
Dar acceso a todos los empleados, sin poner filtros, fue una práctica común al principio. Como el personal de Tecnologías de la Información no se daba abasto, abría accesos genéricos a través de las VPN, haciendo que los empleados tuvieran un acceso completo a la información. Esto ya se ha ido corrigiendo un poco, pero al principio el tema del acceso fue complicado y representaba un riesgo.
Ahora el cibercrimen se dirige a las industrias que tradicionalmente no habían tenido un enfoque tan robusto en términos de seguridad.
AN | ¿Qué han tenido que hacer las empresas para resolver el problema?
Lo primero fue controlar los accesos y gestionar las identidades para ver quién se conecta a la empresa; pero no solo mediante un Access ID y contraseña, sino con otros medios, como tokens de seguridad.
Otro punto importante ha sido la gestión de vulnerabilidades. Se está bombardeando a los usuarios con muchos correos y aplicaciones falsas con malware. Y otra cuestión es la conciencia y educación de los usuarios, que son el eslabón más débil de la cadena.
AN | ¿Qué pasa con la información delicada, como la información de los clientes?
Efectivamente, una de las grandes preocupaciones es la privacidad de la información, pero no solo de los clientes; también de los empleados. Muchas empresas ya están almacenando los datos de salud de sus colaboradores, que están protegidos por la Ley Federal de Protección de Datos Personales.
En general el tema de datos se ha vuelto la moneda de cambio en internet. Este tipo de información se comercializa en la dark web y en la deep web, así que es una gran preocupación de los usuarios, pero también de las empresas. Como consumidores, la confianza que nos puede dar una empresa sobre cómo está manejando nuestra información es un diferenciador importante.
El home office ha sido todo un problema no solo desde el punto de vista de seguridad, sino de la operación.
AN | ¿Cuáles son las industrias con mayores riesgos de ciberseguridad?
Todas. Anteriormente, la mayoría de los ataques se dirigían a la industria financiera, pero con la COVID-19 esto ha cambiado mucho. Ahora el cibercrimen se dirige a las industrias que tradicionalmente no habían tenido un enfoque tan fuerte en términos de seguridad, como el retail, la manufactura y el consumo.
AN | ¿Qué tienen que hacer las empresas para fortalecer su seguridad informática? ¿Invertir más?
Más que invertir más en soluciones de seguridad, deben realizar un diagnóstico claro para identificar sus “joyas de la corona”; es decir sus datos y procesos más sensibles. En materia de ciberseguridad no hay cartera que alcance, así que las empresas deben enfocarse en lo que realmente es importante.
La seguridad debe verse como un habilitador de negocio y no como un stopper. Con base en el análisis, las empresas deben desarrollar las capacidades que necesitan para proteger sus joyas de la corona. No todo es tecnología. Es un componente crítico, pero también hay capacidades que se deben desarrollar en el equipo.
La seguridad de la información no debe ser vista como algo separado del negocio, sino como parte de su ADN. Cada vez que se diseñe una nueva iniciativa de negocio o tecnológica, tiene que ser pensada en términos de seguridad. Es más caro introducir soluciones seguridad una vez que ya se tiene algo productivo, que si se hace desde su diseño. AN
