Fast Fast Forward

Ciberataques en España: una amenaza incesante

FFF_LetsTalkCiberataquesenespagna_2017_500x308px

Primero publicado en Riesgo y Empresa.

By

En 2015 solo dos países, Estados Unidos y Reino Unido, registraron más ciberataques que España, viéndose aumentado este número hasta un 200 % en los últimos dos años. Según Europol, la incidencia de la ciberdelincuencia en España sobrepasa ya a la incidencia de la delincuencia tradicional, un incremento que no tiene previsto detenerse. Los expertos nos alertan que los ciberataques seguirán aumentando en 2017 y serán a su vez más variados y complejos.

Si bien es cierto que los métodos y objetivos de los delincuentes cibernéticos cambian continuamente, hay dos tendencias concretas que resultan particularmente preocupantes para las empresas españolas.

Por un lado nos encontramos con la creciente capacidad que demuestran los ciberdelincuentes para hacerse con el control de dispositivos IoT (Internet of Things o Internet de las cosas), pudiendo acceder a la información contenida en ellos, en los denominados ataques de ransomware. Por ejemplo, podrían encriptar la información o secuestrar los sistemas de control críticos de una empresa y exigir un rescate para su recuperación. Se espera que esta amenaza se vaya extendiendo a medida que se siga multiplicando la cantidad de objetos conectados a Internet y más teniendo en cuenta que muchas aplicaciones IoT son diseñadas mediante protocolos de comunicación cerrados o propios que pueden resultar perfectamente vulnerables a estos ataques.

Otra tendencia preocupante sitúa a los empleados en el punto de mira, mediante el uso de métodos cada vez más refinados y sutiles. Los empleados son el eslabón más débil en los sistemas de defensa cibernética de cualquier empresa. A modo de ejemplo: para los delincuentes cibernéticos, un empleado que acceda al sitio de una red social desde un smartphone de la empresa es un blanco para el spear-phishing, mucho más apetitoso que penetrar en los sistemas de la empresa, capturar sus datos, encriptarlos y exigir un pago para desencriptarlos. Las pequeñas y medianas empresas son especialmente vulnerables a los ataques de ransomware como éste ya que a menudo no son conscientes de su nivel de exposición, por lo que es menos probable que dispongan de controles adecuados para hacer frente a este tipo de ataques.

Los detalles son críticos

Las aseguradoras han dado grandes pasos en los últimos años con el objetivo de desarrollar soluciones que ayuden a mitigar los ciberataques, hasta el punto de que los seguros cibernéticos se están convirtiendo en un elemento integral de muchos programas de gestión de riesgos en las empresas.

Tras detectar estas necesidades en los clientes, los corredores de seguros se han puesto manos a la obra contratando especialistas cibernéticos capaces de comunicar, de la mejor forma posible, sobre las múltiples dimensiones que supone esta amenaza para los distintos tipos de empresas. Las grandes aseguradoras también han adquirido la experiencia necesaria y han reforzado su capacidad en todo el mundo incorporando en su equipo a expertos informáticos y de seguridad con conocimientos de los distintos sistemas y aplicaciones de IT.

En la medida que este tipo de incidentes se ha ido extendiendo y sofisticando, su suscripción se ha vuelto también más exigente. Los suscriptores de riesgos cibernéticos han aprendido que abordar un riesgo relacionado con la seguridad informática implica responder a muchas preguntas detalladas y técnicas. Para ello se necesita tiempo y la colaboración de muchas personas dentro de la empresa.

Por ejemplo, ¿Qué métodos de acceso remoto se permiten? ¿Se necesita una autenticación multifactor (MFA)? ¿Dispone de una tecnología de almacenamiento de contraseñas para las cuentas de los administradores? ¿Cómo cumple la empresa con las normativas o leyes de privacidad y protección de datos, y dónde se encuentran los datos? ¿Analiza los sistemas en busca de vulnerabilidades conocidas y dispone de un proceso de gestión de parches para corregir los problemas? ¿Hasta qué punto están informados la junta directiva y los gestores de la empresa acerca de los riesgos cibernéticos? La lista sigue y sigue...

No obstante, merece la pena invertir tiempo en estos detalles. Cuanto mejor sea la información que pueda proporcionar la empresa, más fácil resultará obtener términos y condiciones favorables.

Al igual que lo son la flexibilidad y la adaptabilidad

Hasta no hace demasiado tiempo, las aseguradoras acostumbraban a ver las solicitudes de cobertura cibernética incompletas o imprecisas, ahora ya se trata de casos aislados. El proceso de suscripción incluye cada vez con más frecuencia reuniones entre el cliente y los aseguradores potenciales, donde se revisan en profundidad los riesgos y las medidas de seguridad adoptadas por el cliente.

Hoy en día no es extraño que las pólizas cibernéticas incluyan más de diez coberturas con distintos límites y retenciones. Aunque se multipliquen las amenazas, las aseguradoras pueden personalizar sus seguros cibernéticos de forma que reflejen las amenazas cibernéticas o puedan adaptarlas a las medidas IT específicas de la empresa, entre ellas los riesgos operativos y de responsabilidad civil.

Los métodos y objetivos de los delincuentes cibernéticos siguen evolucionando y en consecuencia, las aseguradoras están obligadas a colaborar más estrechamente con sus clientes, los corredores y los expertos en seguridad de IT. Todo ello con el único objetivo de mantenerse al día de las últimas tendencias en ciberataques y poder responder de forma proactiva mediante la creación de coberturas que respondan a estas condiciones cambiantes. Cuando surgen nuevos objetivos y tácticas cibernéticas, la flexibilidad para ofrecer mejoras en las coberturas puede suponer una enorme diferencia para los clientes.

Reflexión final

Nunca se repetirá lo suficiente: la tecnología de seguridad tiene sus límites. Las empresas pueden disponer de los sistemas y procesos de seguridad más actuales, pero para reducir las amenazas hay que llegar hasta las personas que manejan estas herramientas, y sobre todo a la concienciación del consejo de administración sobre las repercusiones positivas de una cultura proactiva frente a los riesgos cibernéticos. El factor humano seguirá desempeñando un papel destacado en multitud de incidentes cibernéticos, tanto involuntarios como deliberados. Como señala Europol, «persuadir a personas para que atenten contra su propio interés o el interés de una empresa suele ser una solución más sencilla que recurrir al malware o al hackeo».

Eso significa que, para cualquier empresa, el arma decisiva en la lucha contra los ciberataques se puede resumir en una palabra: Conciencia. Disminuir de forma efectiva la posibilidad de un ciberataque tiene tanto que ver con las mejoras tecnológicas de la empresa como con garantizar que todas las personas de la organización comprenden y sigue las prácticas de ciberseguridad recomendadas.

Copyright 1996-2017  XL Group Ltd All Rights Reserved

XL usa dos tipos de cookies

  1. para permitir el funcionamiento de esta página y para mantener las preferencias que usted establezca; y
  2. para que los datos analíticos contribuyan a que la página sea más relevante y fácil de usar.

Estas cookies no recogen ningún tipo de información personal. Por favor, para más información sobre el uso de cookies Haga clic aquí. Para cumplir las leyes de privacidad de la UE, debe aceptar nuestro uso de cookies.

Al utilizar esta página, usted acepta que podamos colocar estos tipos de cookies en su dispositivo. Si decide cambiar su configuración de cookies, este mensaje aparecerá de nuevo la próxima vez que visite la página web.