¿Puede mi empresa evitar un ciberataque?

Poco a poco las empresas van interiorizando que sufrir un ciberataque no es cuestión de «si» se va a producir, si no de «cuándo» tendrá lugar. Esta es una realidad, el robo de datos o la intrusión en su red interna, que afecta a cualquier organización. Una vez que se asume esta condición, los departamentos de TI deben prepararse para cuando suceda, no limitarse a esperar.

Según leemos en CIO Insight, las empresas deberán preparar una estrategia que permita la gestión del riesgo. En ella deberán especificarse los pasos a seguir una vez que se ha producido el contratiempo, y es que los ciberataques son un riesgo que deben ser manejado como cualquier otro.

Por este motivo, es necesario dedicar recursos a esta gestión y asumir que en ocasiones estas situaciones de peligro generarán un ciclo. Es decir, que las empresas vivirán periodos en los que serán más susceptibles de ser atacadas y en los que, por lo tanto, sufrirán más intrusiones.

Crece la frecuencia de los ciberataques

A pesar del conocimiento generalizado sobre el impacto del delito cibernético, la frecuencia de los ataques sigue aumentando, lo que deriva en graves consecuencias económicas. El estudio HP Ponemon sobre el coste del delito cibernético reveló que los ataques han aumentado a más del doble y que el impacto económico ha crecido hasta casi un 40% en un periodo de tres años.

Por tanto, es aconsejable contar con medidas proactivas que mitiguen el impacto de los ataques, pero también disponer de herramientas de resistencia cuando haya que «defender la muralla».

Hay que dejar claro que el momento para invertir en una herramienta de seguridad de TI es antes de que se produzca este ataque. Si el ataque es inevitable, entonces la resistencia es imprescindible.

Cambio de cultura corporativa y mentalidad empresarial

Así como en la sociedad actual hemos interiorizado la necesidad de ponerse el cinturón de seguridad en el coche, la cultura empresarial deberá tener claro que la ciberseguridad es necesaria a cualquier nivel. Este cambio implica a toda la empresa, de arriba a abajo, y comprende todos los activos empresariales, desde la propiedad intelectual hasta los datos confidenciales de clientes y socios.

La gestión del riesgo cibernético no puede ser únicamente de arriba hacia abajo, si no que deberá ser simultánea. Esto significa que el personal de TI tiene que participar de forma activa en el diseño y la gestión de los programas de seguridad para que estén completamente alineados con las prácticas y políticas de la compañía.

Un cambio en la cultura empresarial requiere de un fuerte compromiso que deberá ser reforzado con campañas de sensibilización y formación útil para empleados y ejecutivos de alto nivel.

Al igual que se implican a los altos mandos en la gestión de la seguridad, los asesores legales deberán entender la responsabilidad de controlar la información que se dispone. En este sentido, deberán tener claro que, cuando se produzca un ciberataque, ellos jugarán un papel importante.

Por otro lado, los departamentos de TI deberán estar al tanto de la situación legal de la empresa y los datos corporativos que corren un mayor peligro si se produce un ataque. Gracias a la conexión bidireccional se consigue una protección completa de la información empresarial.

El equipo legal deberá ser completamente claro con el departamento de TI; su objetivo principal es proteger la empresa, independientemente de dónde venta el peligro. Por otro lado, el personal de seguridad informática deberá ser consciente de que su trabajo influye de manera directa en cualquier área de la compañía.

En ocasiones también se aconseja contar con asesores externos, tanto legales como tecnológicos, que puedan aportar una visión diferente del negocio de la empresa y de sus posibles riesgos y amenazas.

Los reinos de la ciberseguridad

Una manera efectiva de organizar la gestión de la seguridad informática empresarial es dividirla en áreas determinadas. HP Enterprise Security organiza la seguridad en reinos, los cuales reúnen las diferentes categorías con vulnerabilidades con puntos en común. Son los siguientes:

– Características de seguridad.

– Entorno.

– Encapsulación.

– Entrada de validación y representación.

– Errores.

– Tiempo y estado.

– Calidad del código.

– Abuso de API.

En su último estudio analizaron a qué amenazas se vieron expuestas las aplicaciones web y las móviles. Ambas han alcanzando una gran popularidad entre las empresas, tanto a nivel externo como interno, y aunque tengan muchas ventajas, nunca hay que perder de vista los riesgos en la seguridad. En el siguiente gráfico podemos ver comparados los riesgos que representan las aplicaciones web frente a las aplicaciones móviles.

El estudio de HP deja claro la importancia que tiene la seguridad de TI en la empresa y además hace hincapié en que se trata de una seguridad que debe reforzarse en cada momento, con cada nueva tecnología.

Durante el 2014 el malware siguió incrementándose y el software maliciosos conocido dobló la cantidad registrada un año antes. También es significativo el protagonismo que tuvo el malware en el móvil, que dejó de ser una rareza o novedad para convertirse en una constante.

Esconderse del peligro ya no tiene sentido en un mundo en el que todos estamos conectados a la Red. Las empresas deben tomar conciencia de que a la hora de gestionar su seguridad tecnológica deberán tratar y comprender primero a los usuarios, los trabajadores, para después elaborar un plan exhaustivo.

Imagen de apertura: Shutterstock