El año de la inseguridad de la información

En materia de seguridad de la información, las cifras de empresas que presentaron un incidente de seguridad en el año 2023 son alarmantes; a tal grado que los especialistas en la materia hacemos aseveraciones como: “hay tres tipos de empresas, las que han sido hackeadas, las que no saben que fueron vulneradas y las que serán comprometidas”, y como se dice coloquialmente, parecería broma, pero es anécdota. 

Considero que estas cifras y estadísticas no reflejan nuestra realidad, pues muchas de estas empresas no reportan los incidentes y esto es derivado de varios factores. Por ejemplo, que no hay una autoridad o institución a quien reportar, y si existe, desconocen el procedimiento de contacto y notificación. Por otro lado, los ejecutivos a cargo evitarán afectar su marca o reputación en el mercado.

Hablar de seguridad de la información en Centro América es hablar de un ecosistema tecnológico no homogéneo, pues cada país tiene sus particularidades. Durante la pandemia y en el 2023, vimos a grupos hacktivistas (hackers con fines políticos y sociales), doblegar la seguridad y la continuidad en la operación de algunos gobiernos de la región. En el sector privado, las afectaciones económicas, dicen los que cuantifican, que ascienden a millones de dólares. Los delincuentes haciendo uso de la tecnología (ciberdelincuentes) afectan por igual a grandes, medianas y pequeñas empresas, sin olvidar al ciudadano de a pie. 

Estos ladrones tecnológicos especializados en hackear lo que sea que conectemos a una red, operan y se organizan como empresas transnacionales (crimen organizado), reclutando especialistas de cualquier parte del mundo, para desarrollar códigos maliciosos que infecten los equipos, explotar vulnerabilidades existentes en la tecnología, aprovecharse de configuraciones deficientes y finalmente romper la cadena de seguridad por el eslabón más débil, que son nuestros usuarios.

Su intención es monetizar sus actividades a través del fraude, la estafa y el engaño, ya sea cobrando el rescate de archivos o servidores secuestrados (cifrando los datos), sustrayendo el dinero de cuentas bancarias, exigiendo el pago de extorsiones para evitar la divulgación de información confidencial de la empresa, vender bases de datos de clientes, vender el acceso a sistemas comprometidos, robar la identidad de las personas o simplemente, exigir un pago para no inundar los sistemas con millones de peticiones y limitar o inhibir su funcionamiento normal. 

Desde mi perspectiva, los que defendemos a las organizaciones estamos en una clara desventaja; hacemos grandes inversiones en tecnología, entrenamiento y documentación de nuestros procesos, y a estos ciberdelincuentes, les basta encontrar una sola vulnerabilidad para comprometer nuestras operaciones. Vulnerabilidades que inclusive son desconocidas para los fabricantes y desarrolladores de las soluciones, las llamadas “vulnerabilidades de día cero”.

Casi 20 años de experiencia en el mercado de la seguridad, me permiten sugerir que debemos replantear la manera en como estamos asegurando nuestros activos tecnológicos, desde el punto de vista de la “Inseguridad” y el impacto que pueda tener en el negocio, no existe en el mercado un dispositivo o aplicación que nos proteja de todas las amenazas, vulnerabilidades conocidas y desconocidas que abundan en el ciberespacio, aunque son un componente importante, por lo que además, será necesario contar con el apoyo y participación de la alta dirección, así como el involucramiento de los recursos clave de la organización, para implementar esquemas de operación que sean seguros y al mismo tiempo flexibles con la operación.  Como la seguridad total no existe, es imprescindible contar con planes de recuperación ante desastres, que nos permitan mantener la operación, aunque se presente un incidente y después tener un plan de continuidad, que nos permita regresar a “la nueva operación segura”.

Finalmente, en este mundo tecnológico tan cambiante y abrumador, la prevención será su mejor estrategia, por lo que será necesario tener contacto con especialistas, empresas y organizaciones, de las cuales pueda echar mano en caso de materializarse un incidente de seguridad.  Seguramente, ellos pueden poner a su disposición, recursos humanos, infraestructura tecnológica, operativa, herramientas de seguridad y mejores prácticas que le puedan beneficiar.

Tener un mundo más ciberseguro, debe ser una tarea de todos.

Autor: Guillermo Reyes

Consultor, Ciberseguridad Regional