Marcelo Zanotti.
El mundo digital que estamos viviendo crece de manera vertiginosa. Está lleno de oportunidades para la innovación, los negocios, los gobiernos e incluso para los individuos. Todos somos conscientes de los importantes beneficios que ha traído la tecnología para la sociedad.
El mundo digital ofrece un potencial enorme mediante la creación de nuevos mercados y productos, ayudando también a tener una mejor comprensión de los consumidores y de los ciudadanos y encontrar diferentes maneras de conectar con ellos. No obstante, este nuevo escenario nos enfrenta a riesgos cada vez más holísticos y complejos.
Las organizaciones, por lo tanto, deben identificar los actuales desafíos que enfrentan en materia de ciberseguridad y entender que no es un problema de TI. Tampoco es un problema solo para el comité de riesgos de una entidad. Afecta a todos los niveles de la organización, de manera vertical y horizontal. Hoy vemos que los dispositivos inteligentes pueden, sin intención, comprometer información confidencial o privada con consecuencias no deseadas. Las redes sociales se han convertido en una tentación para los usuarios, donde la información es ampliamente compartida, sin percibir los riesgos de seguridad y privacidad que conlleva. Paralelamente, se está incrementando el almacenamiento de información en la nube o en terceros, resultando en menor control que aumenta el riesgo, y en un ciberecosistema más complejo. Además, nuevas legislaciones y regulaciones están forzando cambios en procesos que podrían abrir nuevas vulnerabilidades y ampliar la superficie de ataque de la organización.
Mucho en juego
De la misma manera en que las ciberamenazas evolucionan a una velocidad, complejidad e impacto sin antecedentes, las organizaciones ya no preguntan: “¿estamos seguros?”, sino “¿cómo podemos asegurar que la información más importante para nuestro negocio estará lo suficientemente segura?”. De hecho, la difícil realidad del entorno de seguridad actual significa que muchas de esas organizaciones ya experimentaron una brecha, y que pueden existir solo dos tipos de organizaciones: aquellas que ya han sido comprometidas y están conscientes de ello, y aquellas que se encuentran peligrosamente en desconocimiento.
Podemos decir entonces que su organización será víctima, tarde o temprano, de ciberincidentes. Esto es parte integral del mundo digital. El punto inicial para ganar confianza es entender cómo se ve la organización frente a un ciberatacante. Es necesario preguntarse cómo puede proteger su empresa si no conoce el objetivo del atacante. Tener claro cómo podría obtener acceso a los activos críticos y dañar la imagen de su organización, entender por completo la capacidad de respuesta de la compañía, como así también cómo debe recuperarse de un ataque.
Este drástico cambio es una poderosa llamada de atención que debe estar instalada en la agenda de cualquier Directorio. Con tanto en juego -propiedad intelectual, información de clientes, financiera y operacional y reputación organizacional- los líderes deben darse cuenta de que es tiempo para repensar cómo está siendo entendida y posicionada la ciberseguridad en su organización.
En ese contexto, el reciente Estudio Global de Seguridad de la Información de EY muestra que el 88% de las organizaciones, de un universo de 1.755, cree que su estrategia de seguridad no es suficiente para cubrir las necesidades de la organización. Y esto se debe al significativo crecimiento que han tenido los dispositivos móviles inteligentes, el uso de las redes sociales, la incorporación del cloud computing en las empresas y las actividades cibercriminales que, en muchos casos, están siendo dirigidas por organizaciones con suficientes recursos y patrocinadas incluso por entidades gubernamentales.
Anticiparse de manera inteligente
A menudo los ciberincidentes están anunciados como eventos sensacionalistas y dramáticos, sin embargo, la naturaleza repentina de estos titulares es engañosa. La mayoría de estos ataques comienza semanas o meses antes, cuando los cibercriminales encuentran su punto de entrada y pacientemente comienzan a explorar, creando sus planes y localizando activos valiosos. Es necesario concentrarse en lo importante e ignorar las tácticas distractoras que quitan la atención de lo que realmente están haciendo y en dónde están teniendo éxito.
Por lo tanto, lo que actualmente vemos es que la mayoría de organizaciones van por detrás de lo que está ocurriendo en el entorno. Los cambios tecnológicos avanzan muy rápido y nuevas vulnerabilidades aparecen día a día. El estado de vigilancia debe ser constante y en algún momento incluso las organizaciones sienten una especie de fatiga y se preguntan: “¿hasta cuándo durará este estado de alerta?”. Es por eso que la clave es diferenciarse de otras empresas y llegar a un nivel de madurez que permita anticiparse de manera inteligente y predictiva a los distintos ataques que pueden sufrir. Para eso, deben conocer muy bien cuáles son sus activos más críticos y aplicar una auténtica inteligencia defensiva. No podremos proteger nunca todos los activos de una organización. Es clave conocer cuál es la información crítica de la entidad y, en función de eso, aplicar las medidas de seguridad que se requieran.
En otras palabras, las compañías deben avanzar hacia lo que llamamos “Una Defensa Activa”. Es decir, salir del estado reactivo y mejorar las capacidades de seguridad existentes de la empresa para lograr una mayor eficacia contra los atacantes persistentes. Utilizar ciberinteligencia para identificar probables atacantes, inferir los posibles objetivos de su negocio y desarrollar hipótesis sobre cómo se desplegarán los atacantes. Esto debe formalizarse con procesos disciplinados para analizar la información disponible, obtener conclusiones relevantes y tomar acciones. Mediante la implementación y ejecución de un ciclo iterativo con mecanismos integrados para el aprendizaje y mejora continua, la organización puede obtener ganancias en la eficiencia, responsabilidad y capacidades de gobierno sobre los riesgos de ciberseguridad.
Finalmente, entender que la ciberseguridad no debe ser una barrera u obstáculo de este mundo digital. Muy por el contrario, la ciberseguridad debe ayudar a crear un mundo digital completamente operativo y sustentable, siendo la clave para desbloquear la innovación y la expansión de los negocios. Una organización que esté adaptada y enfocada a ciberseguridad centrada en riesgos ajustará el balance del mundo digital hacia la seguridad y sustentabilidad, ayudando a proteger mejor su organización y creando confianza en su marca.
