Según el último balance de ciberseguridad publicado por INCIBE (Instituto Nacional de Ciberseguridad) y su centro de Respuesta a Incidentes de Seguridad (CERT) relativo al año 2020, se han gestionado un total de 133.155 incidentes, de los que un 80% corresponde a empresas y ciudadanos, un 0,9% afectan a infraestructuras críticas. Además, Cybersecurity Ventures predijo que el coste previsto de los ciberdelitos en el mundo sería de 6 billones de dólares en 2021, lo que supone la mayor transferencia de riqueza económica de la historia.
Cybersecurity Ventures predijo que el coste previsto de los ciberdelitos en el mundo sería de 6 billones de dólares en 2021
Ante este contexto, parece más que necesario el papel del CISO o Responsable de Seguridad de la Información, clave para garantizar la continuidad de los negocios y las administraciones. Es el responsable, entre otras, del diseño y elaboración de políticas de seguridad, así como de las medidas técnicas y organizativas que se deben implantar en la empresa, que permitan garantizar la seguridad de la información y confidencialidad e integridad de datos estratégicos de las empresas. Entre sus funciones está prevenir ciberataques que puedan afectar al correcto funcionamiento de la empresa.
En 2021, las empresas españolas no se libraron de los ciberataques. El phishing es el principal vector de ataque, cuyo objetivo es engañar a la víctima a través de su confianza falsificando y/o suplantando la identidad de una persona, empresa o servicio de confianza.
También, puede ir focalizado en una persona, siendo el activo más importante el CEO. El fraude al CEO es un tipo de estafa económica, que puede afectar a la continuidad del negocio y a la imagen/reputación de esta, al margen del sector al que pertenezca.
Un ciberataque dirigido al director de una compañía, utilizando el phishing como medio para suplantar su identidad y hacer creer al financiero que está recibiendo órdenes directas de la dirección, para realizar diferentes transferencias que en algunos casos sumaban varios millones de euros. La forma de proceder siempre suele ser la misma, ganarse la confianza del financiero, haciéndole creer que se trata de un asunto confidencial, de suma importancia para el negocio y que no debe compartirlo con el resto del equipo.
La recomendación para mitigar o reducir los riesgos en este sentido, pasan principalmente por la formación/concienciación de los empleados y los cargos de mayor responsabilidad, además de campañas de simulación de phishing para comprobar la efectividad de las mismas.
Por otro lado, destaca la suplantación de identidad de proveedores de servicios o productos, que pueden ser víctimas de ciberataques y comprometer los sistemas o información que manejan. La recomendación para mitigar o reducir los riesgos en este sentido, pasan principalmente por tomar ciertas medidas de protección al respecto y, sobre todo, solicitar a dichos proveedores que cumplan y acrediten que pasan auditorias periódicas en sus sistemas de información.
El ransomware o secuestro de datos, se trata de un malware o software malicioso que cifra la información y solicita un rescate económico, como el que tiene un efecto más dañino para la continuidad del negocio. Disponer de una copia de seguridad en otro emplazamiento seguro, garantiza la disponibilidad e integridad de la información.
Los ataques de DDoS o denegación de servicio distribuido, siguen aumentando cada año. El principal objetivo es bloquear o inhabilitar un servidor o infraestructura mediante tráfico malintencionado, para que deje de prestar su servicio. Disponer de un plan de gestión de este tipo de incidentes y una redundancia de los servidores, es clave para mitigar los riesgos y el impacto en la continuidad del servicio, que para muchos negocios es su core.
Sobre el uso del Internet de las Cosas, en 2009 había 2,5 millones de dispositivos conectados con direcciones IP únicas a Internet, siendo la mayoría de ellos dispositivos teléfonos móviles y ordenadores. En 2022, habrá unos 50.000 millones de dispositivos inteligentes, aunque la mayoría de los cuales serán productos de uso cotidiano, el porcentaje de dispositivos instalados y funcionando en este sector es muy alto y por tanto el nivel de riesgo también lo es. En este sentido, es fundamental exigir a sus proveedores la acreditación o certificación de la seguridad de sus productos, ya que en muchos casos están implantados en la cadena producción.
