10 claves para diseñar una auditoría efectiva de ciberataques
Actualmente, la prevención de ciberataques se ha convertido en un elemento esencial y relevante para la supervivencia de cualquier empresa. Sin embargo, hay un paso necesario que no le suelen dar la importancia que merece, pero resulta clave para implementar una estrategia integral de ciberseguridad corporativa. Se trata de una auditoría de ciberataque y tiene como objetivo primordial evaluar y analizar la seguridad de un sistema en una organización. Previniendo riesgos y vulnerabilidades en la seguridad, el propósito es tomar una serie de medidas preventivas para proteger así la información de la empresa. La importancia de la ciberseguridad en las compañías españolas y la prevención de ciberataques Según datos del Informe de Ciberseguridad de 2022 de INCIBE, en los últimos años, 1 de cada 3 ciberataques en España se debieron a filtraciones o robos de datos, teniendo en cuenta que el phishing es uno de los incidentes más frecuentes con más de 17.000 incidentes al año. Además de las empresas, las instituciones españolas también han sufrido ciberataques. Sin ir más lejos, en el mes de septiembre, el ayuntamiento de Sevilla se vio afectado por un ataque informático, con una reclamación de más de un millón de euros por parte de los cibercriminales, y continuando 40 días los servicios bloqueados. Este es un claro ejemplo que demuestra la creciente amenaza que sufren las empresas ante estos ciberataques. Se sabe que, en España durante el año 2022, la inversión media de las empresas en ciberseguridad alcanzó un 7,7%, de acuerdo con un estudio de IDC. Sin embargo, este porcentaje se verá incrementado en los próximos años gracias a la necesidad de protección de las empresas. Lea también: Ciberseguridad: ¿Qué es el pharming y cómo prevenirlo? No contar con una adecuada ciberseguridad puede tener graves consecuencias económicas, legales y de reputación para una organización, lo que subraya la importancia de tomar medidas proactivas para proteger los datos sensibles. De este modo, Sora Anzen, la marca especializada en servicios de ciberseguridad corporativos del holding tecnológico Asseco Spain Group, señala 10 requisitos esenciales para diseñar una auditoría de ciberseguridad efectiva: 1. Establecer objetivos claros: Lo primero que se debe priorizar es definir qué aspectos específicos de la seguridad de la empresa se desea evaluar. Como la infraestructura de red, la gestión de identidad o la formación de personal. 2. Determinar el alcance: Será necesario establecer qué sistemas, aplicaciones o áreas se incluirán en la auditoría. Deben estar enfocados los recursos de manera efectiva, y se debe garantizar la detección de amenazas, vulnerabilidades y riesgos. 3. Seleccionar el equipo: La selección del equipo en una auditoría debe ser crucial, y contar con un personal de auditores de ciberseguridad con experiencia en evaluación de riesgos y técnicas de seguridad. Buscar profesionales con experiencia, que el equipo tenga competencias técnicas sólidas, que además posean habilidades de comunicación, y que la colaboración sea esencial, son aspectos importantes a tener en cuenta. 4. Planificar un plan de auditoría: Éste debe incluir los objetivos que hemos marcado y la determinación del alcance analizado anteriormente, y completarlo con: los criterios de evaluación, recursos necesarios, entorno, evaluación de los riesgos, y procedimiento con fechas y plazos, incluyendo su correspondiente cronograma. 5. Evaluar los riesgos: Identificar y realizar una evaluación inicial de los riesgos en el contexto de la organización, ayudando así a las áreas más críticas para darles una mayor prioridad, es un paso fundamental dentro del plan de auditoría. 6. Comunicar y coordinar: Comunicar el propósito y el alcance de manera clara para informar sobre el progreso de la auditoría, y coordinar a todas las partes interesadas para informar de cualquier problema que surja. 7. Ejecución: Siendo uno de los pasos más importantes ya que hay que llevar a cabo las actividades siguiendo el plan de auditoría, los procedimientos necesarios, y sin olvidar además documentar y recopilar las evidencias de las actividades. 8. Análisis e informe: Interpretación de los hallazgos, se basa en analizar en profundidad y proporcionar informes completos que detallen los aspectos clave, técnicos y recomendaciones para mejorar la seguridad. Teniendo en cuenta que, para cada vulnerabilidad identificada, se debe proponer una solución, la forma de aplicación y las medidas que se deben tomar. 9. Seguimiento: El seguimiento post-auditoría es una fase crucial que se lleva a cabo después de la presentación del informe de esta. Su objetivo principal es garantizar que las recomendaciones se implementen de manera efectiva y que la organización mejore su postura de seguridad. 10. Feedback: Es una de las fases más importantes del proceso, ya que se debe recopilar los comentarios necesarios para mejorar el proceso en el futuro. Por otro lado, al hablar de auditoría, hay que tener en cuenta que hay que desarrollar conjuntamente unos simulacros de ciberataque para evaluar la preparación y capacidad de respuesta de la organización ante amenazas. FUENTE: Redacción. »10 claves para diseñar una auditoría efectiva de ciberataque» Rrhhdigital.com. 25/12/2023. (https://www.rrhhdigital.com/secciones/tecnologia-e-innovacion/737315/10-claves-para-disenar-una-auditoria-efectiva-de-ciberataque/).
3 tecnologías clave para combatir ciberdelitos en 2024
Anticipar y comprender las tendencias emergentes que definirán el panorama de la ciberseguridad en 2024 será importante para combatir a los ciberdelincuentes, según expertos. Y es que en la actualidad los ciberdelitos como el phishing, hacktivismo, ransomware y deepfake se han convertido en amenazas para usuarios y organizaciones. Lea también: Retos en ciberseguridad para los ambientes educativos para 2024 Por este motivo, empoderar a personas y empresas con conocimientos sólidos sobre prácticas seguras en línea es esencial para crear una línea de defensa, según Ingrid Mora, gerente general de Noventiq para Costa Rica. Ante este panorama, los expertos mencionan 3 tecnologías claves que tomarán relevancia este 2024 para luchar contra los ciberdelitos: FUENTE: Madriz, Allan. »3 tecnologías clave para combatir ciberdelitos en 2024» Larepublica.net. 25/12/2023. (https://www.larepublica.net/noticia/3-tecnologias-clave-para-combatir-ciberdelitos-en-2024
Las 4 predicciones de ciberseguridad de Palo Alto Networks para 2024
Con el cierre de año, es fundamental prepararnos para los cambios o tendencias que puedan tomar fuerza durante el 2024. La ciberseguridad, sin duda, es un tema que las empresas y personas deben fortalecer cada día más, puesto que, en un mundo en donde las tecnologías de la información y plataformas como la Inteligencia Artificial avanzan a pasos agigantados, proteger la información es esencial. De acuerdo con Mauricio Ramírez, Country Manager Chile de Palo Alto Networks, lograr una identificación concreta y precisa de las principales tendencias en ciberseguridad para el 2024, les dará a las empresas la oportunidad de anticiparse, tomar decisiones informadas y precisas para proteger sus operaciones. “Una vez más y como sucede año tras año, las empresas deben blindarse ante la proliferación de ataques y amenazas a través de los distintos canales y plataformas digitales. En Chile, es esencial reforzar los controles en las empresas de todos los sectores y estar cada vez más preparados porque el panorama de la ciberseguridad será bastante volátil en 2024 y enfrentarlo requiere acciones rápidas, efectivas y estratégicas”. Considerando lo anterior, Palo Alto Networks, presentó 4 predicciones y tendencias en ciberseguridad que marcarán el panorama de las tecnologías corporativas 2024: La IA hace que el panorama del director de Seguridad de la Información sea más desafiante: Los departamentos empresariales y de TI lucharán por definir la verdadera propiedad de la IA. Mientras tanto, las mejores prácticas de ciberseguridad en torno a la IA se quedarán atrás, y los atacantes aprovecharán los modelos de grandes lenguajes (LLM) y la IA generativa para mejorar significativamente los correos electrónicos de phishing selectivo, combinándolos con deepfake y otros ataques habilitados por IA para aumentar las tasas de clics. Lea también: ¿Cómo están cambiando los roles de ciberseguridad y qué esperar? Ante esto, los directores de Seguridad de la Información o CISO, por sus siglas en inglés, deben centrarse en facilitar y comunicar a la empresa los riesgos de los proyectos basados en IA. Deben priorizar los proyectos que respalden las capacidades de mayor valor y en los que la ciberseguridad tenga el mayor impacto empresarial. Estos tendrán que aprovechar las plataformas habilitadas para IA para reducir la complejidad y aumentar la eficacia de la seguridad. La IA Generativa acelera la Ciberseguridad como habilitador: A medida que los modelos de IA generativa maduren hasta 2024, el aumento de los copilotos de seguridad incrementará la productividad de las operaciones de seguridad (SecOps). Esto cambia significativamente el enfoque dentro del equipo hacia una mentalidad proactiva frente a reactiva, con un mayor énfasis en la creación de plataformas de inteligencia de amenazas que aprovechan la IA como sistemas de alerta temprana. En este sentido, el papel del CISO evolucionará hacia un Jefe de Seguridad de la IA (CAISO), utilizando modelos de IA para ayudar a predecir amenazas de forma proactiva a través de sistemas autónomos y en tiempo real. Esta evolución del rol del CISO tendrá una oportunidad única para reunir a los líderes empresariales y utilizar la ciberseguridad como la base clave para construir con confianza proyectos digitales habilitados para IA. La definición de métricas que puedan rastrearse, como la resolución de incidentes y la protección de la IA contra el envenenamiento o la degradación de datos, aumentará significativamente. La consolidación de plataformas de trabajo mejorará significativamente los resultados de la seguridad: Como principal prioridad empresarial para 2024, la consolidación de la ciberseguridad promete una disminución de los costos y la complejidad, pero no necesariamente una mayor cibereficacia. Las empresas aprenderán que la consolidación no equivale a desarrollo de plataformas, y los proyectos centrados en la eficiencia de costes sin un enfoque en la optimización y mejores resultados de seguridad se quedarán cortos. Bajo este panorama, los equipos de seguridad deben ofrecer un desarrollo de plataformas que sea modular y sistemático como elemento diferenciador para la empresa, reduciendo significativamente el número de proveedores de más de 30 a 2-3 socios de ciberseguridad de confianza que trabajen dentro de un ecosistema. Así mismo, las empresas deben aprovechar un socio cibernético innovador que pueda ayudar a consolidar, pero también centrarse en los resultados de seguridad autónomos y en tiempo real, mientras paralelamente se mejora la simplicidad y la integración. Las organizaciones alinearán la seguridad estrechamente con el proceso de desarrollo de software La proliferación de la IA Generativa aplicada a la ingeniería de software conducirá a un peak de software autodesarrollado con errores, así como a una aceleración de los ataques contra esas aplicaciones. Junto con el creciente riesgo de ataques a la cadena de suministro y una explosión del uso de código abierto, al menos el 30% de las empresas priorizarán la seguridad de las aplicaciones como su principal riesgo cibernético en 2024. De manera tal que, los esquemas de seguridad se construyen a la misma velocidad a la que se diseñan las aplicaciones. Para esto, evalúe su postura de seguridad en, de y en torno al proceso de ingeniería de software y construya un plan para ejecutar la seguridad a la velocidad de la ingeniería. Ejecute estrategias de medidas de seguridad acordes con la experiencia del desarrollador (DevEx), como la integración sin fricciones en el ecosistema del desarrollador, el contexto entre código-construcción-ejecución, los controles-como-código y la alta automatización, utilizando herramientas de seguridad de infraestructura-como-código. FUENTE: TRENDTIC. »LAS 4 PREDICCIONES EN CIBERSEGURIDAD PARA EL 2024 DE PALO ALTO NETWORKS» Trendtic.cl. 26/12/2023. (https://www.trendtic.cl/2023/12/las-4-predicciones-en-ciberseguridad-para-2024-de-palo-alto-networks/).
¿Cómo están cambiando los roles de ciberseguridad y qué esperar?
La inteligencia artificial, la automatización y la creciente necesidad de profesionales de la ciberseguridad con buenas habilidades sociales son algunas de las cosas a tener en cuenta a la hora de contratar. A nivel mundial, las empresas están tratando con el impacto de los constantes cambios tecnológicos y la necesidad de mantenerse al día con la evolución continua de las capacidades de ciberseguridad. Esto afecta directamente a las personas que ya están empleadas en la industria, así como a las habilidades que se buscan para contratar a nuevo personal de respuesta de incidentes, gobernanza, riesgo y cumplimiento y análisis de Centro de Operaciones de Ciberseguridad (SOC, de sus siglas inglesas). La IA y la automatización impulsan el cambio en algunas funciones La experimentada jefa de TI y ciberseguridad, Sameera Bandara, le dice a CSO que uno de los factores más importantes que impulsan un cambio en las habilidades que las empresas buscan en los profesionales de la ciberseguridad, especialmente en los últimos dos años, es la creciente prevalencia de la inteligencia artificial y las herramientas de automatización. De hecho, el informe Tines Voice of the SOC encontró que nueve de cada 10 equipos de seguridad están automatizando al menos parte de su trabajo. «Proveedores como Microsoft y otros proveedores de seguridad como Splunk y CrowdStrike, básicamente han introducido IA en sus conjuntos de herramientas, lo que luego elimina la necesidad de que, digamos, un analista de seguridad tenga un cierto conjunto de habilidades, porque en lugar de tener que hacer en los patios difíciles, básicamente pueden conseguir la herramienta para hacerlo por ellos», dice Bandara. Algunas de esas habilidades a las que se refiere son las de codificación y secuencias de comandos. «Las cosas que antes necesitaban un script de Python ahora se pueden consultar utilizando lenguaje natural gracias a que los proveedores integran la IA en sus herramientas», afirma. Lea también: Las amenazas de ciberseguridad más relevantes en el segundo semestre del 2023 David Vaughn, analista senior de ciberseguridad de Datacom, ha experimentado este cambio de primera mano y describe cómo su función ha cambiado «significativamente» en los últimos dos años. «En el pasado, mi trabajo se centraba en identificar y responder a los ciberataques», expresa. «Con Datacom operando a la vanguardia de la ciberseguridad, mi función ha avanzado para incorporar una búsqueda de amenazas más proactiva. Ahora dedico una cantidad significativa de tiempo a buscar activamente amenazas a nuestra organización, tanto interna como externamente; implementando casos de uso de anomalías y basados en el comportamiento. en comparación con casos de uso más estándar basados en firmas; y más automatización con la introducción de la plataforma de orquestación, automatización y respuesta de seguridad (SOAR). Vaughn añade que el acceso a nuevas herramientas de automatización también ha significado una reducción en los tiempos de clasificación y respuesta, así como una oportunidad cada vez mayor de centrarse en responsabilidades más estratégicas y complejas. «Hemos visto cómo la naturaleza de la industria cambia de un enfoque reactivo a uno proactivo y esto debería reflejarse a nivel personal. Ya no espero a que ocurran amenazas para tomar medidas», dice. ¿Cómo está evolucionando el papel del especialista de GRC? Como ocurre con la aparición de cualquier tecnología nueva, existen ventajas y desventajas. Bandara advierte que, si bien la IA se puede utilizar para el bien, también se puede utilizar para crear nuevos ataques y mayores riesgos, algo que todos los profesionales de la ciberseguridad deben conocer. «Si tienes un especialista en gobernanza, riesgos y cumplimiento y tiene un proyecto particular que llega a su bandeja de entrada para realizar una evaluación de riesgos, anteriormente no habrían tenido que considerar los riesgos basados en IA. Por ejemplo, si un empleado está utilizando una plataforma abierta de inteligencia artificial para generar una oferta o que alguien copie y pegue la propiedad intelectual de la empresa en ChatGPT», afirma. Los especialistas de GRC deben estar equipados con ciertos conocimientos jurídicos para poder asesorar con éxito a las organizaciones sobre el diseño de planes y marcos de gobernanza y las mejores prácticas de ciberseguridad, por ejemplo. Al reconocer esta necesidad, Vizza, un especialista en GRC, está terminando sus estudios de derecho. «En los últimos años, desde esta perspectiva, hemos visto el requisito de que es necesario comprender el espacio regulatorio, más allá de ‘es una cuestión de la Ley de Privacidad’. Hay que explicar cuando se trabaja con organizaciones. específicamente cómo les afectará si sufren una violación de datos», dice. «No es necesario ser abogado, pero sí tener suficiente conocimiento y estar realmente en ese panorama legal y regulatorio». El personal de respuesta a incidentes ahora necesita buenas habilidades de comunicación No sólo se espera que los especialistas de GRC brinden sus consejos. Los equipos de respuesta a incidentes, normalmente valorados por sus habilidades técnicas, se encuentran cada vez más interactuando directamente con los clientes. Según David Ulcigrai, investigador senior de análisis forense digital y respuesta a incidentes de CyberCX, se requiere que los respondedores de incidentes repasen sus habilidades de comunicación oral y escrita. «Lo que estamos notando es que el cliente no necesariamente quiere esperar a que alguien revise un correo electrónico o revise un informe antes de enviarlo, y eso es lo que solía ser, veníamos a hacer la investigación, encontrábamos algunos resultados y al final les entregábamos un informe escrito», afirma. «Ahora, el cliente está más involucrado y quiere saber más durante ese proceso, por lo que todos tienen que responder, todos tienen que estar disponibles para levantar el teléfono y tener una conversación. Mi experiencia era muy técnica y la gente técnica no lo es. necesariamente los mejores comunicadores para simplificar las cosas. Pero es una habilidad que se aprende, así que en eso estamos tratando de centrarnos ahora». ¿Qué deben tener en cuenta los CISO a la hora de contratar? Cuando busca nuevos empleados, Ulcigrai, cuya experiencia se encuentra en aeródromos militares, dice que siempre está buscando personas técnicas con capacidad de aprender. «No necesariamente me importa de qué corriente técnica vienes… siempre y cuando esté en algún lugar de ese ámbito cibernético o técnico, especialmente en la respuesta a incidentes…
Las amenazas de ciberseguridad más relevantes en el segundo semestre del 2023
ESET, compañía líder en detección proactiva de amenazas, analiza en su último ESET Threat Report el panorama de las amenazas de ciberseguridad más significativas durante la segunda mitad del año basado en los datos de su telemetría y la perspectiva de los expertos de la organización. Se destaca la adaptabilidad de los ciberdelincuentes y su búsqueda incesante de nuevas vías para lograr sus objetivos, sea explotando vulnerabilidades, obteniendo accesos no autorizados, comprometiendo información confidencial o defraudando a las víctimas. Ransomware El segundo semestre de 2023 fue testigo de importantes incidentes de ciberseguridad. Cl0p, un famoso grupo de ciberdelincuentes conocido por llevar a cabo ataques de ransomware a gran escala, llamó la atención por su extenso “hackeo MOVEit”. El ataque se dirigió a numerosas organizaciones, incluidas corporaciones globales y agencias gubernamentales estadounidenses. Un cambio clave en la estrategia de Cl0p fue su decisión de filtrar la información robada a sitios web abiertos en todo el mundo en los casos en los que no se pagaba el rescate, una tendencia que también se observó con el grupo de ransomware ALPHV. Otras nuevas estrategias en el panorama del ransomware, según el FBI, han incluido el despliegue simultáneo de múltiples variantes de ransomware y el uso de wipers tras el robo y ci frado de datos. Lea también: 7 tendencias en ciberseguridad para el 2024 Internet de las cosas (IoT) En el panorama del IoT, los investigadores de ESET han hecho un descubrimiento notable. Han identificado un interruptor de desactivación que se había utilizado para dejar fuera de servicio a la botnet IoT Mozi, una de las mayores de su clase que han monitorizado en los últimos tres años. La naturaleza de la repentina caída de Mozi plantea la cuestión de si el interruptor de desactivación fue utilizado por los creadores de la botnet o por las fuerzas de seguridad chinas. Una nueva amenaza, Android/Pandora, apareció en el mismo escenario, comprometiendo dispositivos Android como televisores inteligentes, cajas de TV y dispositivos móviles, y utilizándolos para ataques DDoS. Inteligencia Artificial En el marco del debate sobre los ataques basados en IA, ESET ha identificado campañas específicas dirigidas a usuarios de herramientas como ChatGPT. “También hemos observado un número considerable de intentos de acceder a dominios maliciosos con nombres parecidos, aparentemente en referencia al chatbot ChatGPT. Las amenazas encontradas a través de estos dominios también incluyen aplicaciones web que manejan de forma insegura las claves de la API OpenAI, enfatizando la importancia de proteger la privacidad de tus claves de la API OpenAI.”, señala Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica. Software espía Otro tipo de amenazas en los que se registró un aumento significativo son los casos de spyware para Android, atribuido principalmente a la presencia del spyware SpinOk. Este software malicioso se distribuye como un kit de desarrollo de software y se encuentra dentro de varias aplicaciones legítimas de Android. Una de las amenazas más registradas en el segundo semestre es un código JavaScript malicioso de tres años de antigüedad detectado como JS/Agent, que se sigue cargando en sitios web comprometidos. Del mismo modo, Magecart, una amenaza que persigue datos de tarjetas de crédito, ha seguido creciendo durante dos años atacando sitios web sin parches. En estos tres casos, los ataques podrían haberse evitado si los desarrolladores y administradores hubieran aplicado las medidas de seguridad adecuadas.< /span> Criptomonedas Por último, el aumento del valor del bitcoin no ha ido acompañado de un aumento correspondiente de las amenazas contra la criptomoneda, lo que supone una divergencia con las tendencias anteriores. Sin embargo, los ladrones de criptomonedas han experimentado un notable aumento, causado por el auge del infostealer de malware como servicio (MaaS) Lumma Stealer, cuyo objetivo son los monederos de criptomonedas. Estos acontecimientos muestran un panorama de ciberseguridad en constante evolución, con actores de amenazas que utilizan una amplia gama de tácticas. FUENTE: TECNO. »Las amenazas de ciberseguridad más relevantes en el segundo semestre del 2023» Genteba.com. 22/12/23. (https://www.genteba.com/2023/12/22/las-amenazas-de-ciberseguridad-mas-relevantes-en-el-segundo-semestre-del-2023/).
BBVA, Vodafone, Digi o la organizadora del Mobile World Congress, entre las empresas más multadas en España por incumplir el RGPD en 2023
2023 ha sido el año en el que el Reglamento General de Protección de Datos (RGPD) ha cumplido cinco años en vigor en España: su aplicación comenzó a ser efectiva en mayo de 2018. También ha sido un año informativamente intenso en este ámbito: se han introducido nuevos debates a raíz de las suscripciones de Meta y se ha firmado un nuevo acuerdo para transferir datos a EEUU. Sin ir más lejos, ChatGPT, el popular modelo de IA desarrollado por OpenAI que genera textos y responde a sus usuarios, estuvo bloqueado unas semanas en Italia a instancias de su autoridad de protección de datos, al entender que la compañía tenía que subsanar una serie de deficiencias para cumplir adecuadamente con la legislación europea. Esta intensidad también se ha trasladado al ámbito sancionador. 2023 ha sido un año de récord en Europa en cuanto a multas administrativas por vulnerar el RGPD. Meta, protagonista de la multa más alta de la historia Meta fue la compañía que recibió la mayor sanción en la historia de la norma, y sucedió el pasado verano: 1.200 millones de euros por haber continuado transfiriendo datos personales de usuarios europeos a EEUU cuando el acuerdo entre Bruselas y Washington llevaba invalidado desde 2021 (y no se firmó el nuevo hasta semanas después). La multinacional propietaria de Facebook o Instagram lamentó la sanción y advirtió que sienta un «precedente peligroso» en un momento en el que internet se está «fracturando» por la presión de los «regímenes autoritarios». Las quejas de Zuckerberg y compañía no respondían en realidad a esa histórica sanción de 1.200 millones: ya en enero, la autoridad de protección de datos irlandesa —con toda la presión del Comité Europeo de Protección de Datos, el organismo que aglutina a todas las agencias nacionales— impuso otra sanción de 390 millones a la multinacional de las redes sociales. TikTok, otra multinacional multada También Irlanda ha impuesto este año una sanción de 345 millones de euros a TikTok. Pocas se escapan. La autoridad francesa acabó anunciando en junio una multa de 40 millones de euros contra Criteo, una de las mayores empresas de perfilado publicitario del continente, tras un proceso que inició la asociación de activistas en defensa de la privacidad Noyb. Todas estas sanciones, algunas de las más importantes que las autoridades europeas de protección de datos han dado a conocer durante 2023, han hecho que el año que ahora se despide sea el año en el que se han registrado multas por más de 2.053,6 millones de euros. La cifra dobla holgadamente la registrada en 2022, cuando se impusieron 841,5 millones de euros en multas. La evolución de las multas por el Reglamento de Protección de Datos desde 2018 siempre ha sido una progresión lineal. Por ejemplo, en 2020 se duplicó lo sancionado en 2019 y se impusieron 171,5 millones de euros en multas. En 2021, la cifra se disparó hasta los 1.278 millones —impulsado, sobre todo, por una multa de más de 700 millones que recibió Amazon—. En 2022 el número se quedó por debajo de los 850 millones de euros. Pero este 2023 ha reventado todos los registros. En buena parte por esa sanción a Meta de 1.200 millones. Es el primer año —y todavía queda por conocer cómo cierra diciembre— en el que se han superado los 2.000 millones de euros en multas por vulnerar el RGPD en la Unión Europea. ¿Y en España? La Agencia Española de Protección de Datos (AEPD) cumplió hace escasos días 30 años. Sanciona desde 2018, pero no ha sido hasta el año pasado cuando la entidad que todavía dirige Mar España comenzó a imponer las sanciones millonarias con las que el RGPD nació bajo el brazo. En realidad ya se vieron multas de 5 millones de euros en 2020 (BBVA), de 6 millones (CaixaBank) o de más de 8 millones (Vodafone) en 2021, y la mayor sanción de la autoridad española se hizo notar en 2022, contra Google, por 10 millones de euros. Lea también: La AEPD celebra 30 años con el foco en la protección de los menores frente a internet Este 2023 no ha habido cifras astronómicas como esas por parte de la AEPD. Pero sí algunas que se han acercado al millón. La AEPD no empezó a imponer sanciones millonarias atendiendo al RGPD porque hasta bien entrado 2019 y 2020 el organismo seguía resolviendo procedimientos que se dirimían con la legislación previa. España, imposibilitada a imponer sanciones más grandes Ahora en 2023 la falta de sanciones multimillonarias se puede explicar con lo que ha sucedido en realidad siempre: España es el país que más multas ha impuesto por el RGPD a nivel europeo, pero su cuantía es menor porque las grandes multinacionales tecnológicas que podrían ser perseguidas con el régimen sancionador del RGPD se afincan en otros países de la Unión. Es el caso de TikTok o Meta, que se asientan en Irlanda. Solo en casos muy concretos las autoridades de protección de datos pueden imponer una sanción contra una compañía cuando esta está en otro territorio europeo. De las mayores multas impuestas por la AEPD este 2023 se pueden extraer también varias conclusiones. Una de ellas es que las telecos ya están pagando su responsabilidad cuando sus clientes sufren estafas con técnicas conocidas como el SIM swapping o el duplicado de tarjetas. Estas son algunas de las empresas más multadas este año en España por la AEPD. BBVA, #1 del ránking: 1.800.000 euros La sanción más elevada de todas las que ha impuesto la AEPD este 2023 la ha recibido el BBVA. La agencia española inició un procedimiento sancionador de oficio después de que una persona sufriera el robo de su bolso cuando recibía tratamiento oncológico en una clínica médica y a pesar de que notificara la sustracción de su tarjeta, la entidad bancaria hiciera caso omiso. Esto provocó que la persona fuera suplantada por el criminal que accedió a su monedero y a su tarjeta bancaria. Por esta razón, la AEPD inició el procedimiento sancionador en enero de este año con una multa de 1,6 millones de euros al BBVA. La entidad financiera, por su parte, se acogió al pronto pago y acabó asumiendo una sanción de 800.000
Brecha de género: Un desafío de la ciberseguridad global
En el mundo en el que vivimos, la importancia de la ciberseguridad no puede ser subestimada. A medida que nuestras vidas se vuelven cada vez más interconectadas y dependientes del mundo digital, la necesidad de expertos en este campo ha crecido exponencialmente: según la OEA, se requieren unos 700 mil especialistas en ciberseguridad para cubrir la necesidad que hay en Latinoamérica y el Caribe. Dentro de esta necesidad de especialistas, existe otro desafío subyacente que lo hace aún más retador: la brecha de género. De acuerdo con información del Consorcio Internacional de Certificación de Seguridad de Sistemas de Información (ISC), las mujeres solo representan el 24% de la fuerza laboral en ciberseguridad a nivel global, con porcentajes mucho más bajos en algunas partes del mundo. La subrepresentación de mujeres en el campo de la ciberseguridad es el resultado de múltiples factores, que incluyen sesgos de género arraigados, falta de modelos femeninos a seguir en el campo, escasez de oportunidades educativas y de mentoría, y culturas laborales no inclusivas. A menudo, las mujeres enfrentan obstáculos en la adquisición de habilidades técnicas necesarias, así como en procesos de contratación y selección sesgados. Pero lo cierto, es que las mujeres aportan habilidades que impulsan el sector. Sus perspectivas únicas pueden conducir a enfoques innovadores frente a los desafíos cibernéticos en constante evolución. Además, las habilidades de comunicación efectiva de muchas mujeres son clave en un campo en el que la claridad es crucial. Asimismo, su capacidad para gestionar riesgos desde múltiples ángulos, y su empatía pueden ayudar en la identificación y mitigación de amenazas cibernéticas. Esto no quiere decir que no tengamos excelentes mujeres con pensamiento lógico, u hombres con mayores capacidades empáticas, pero sí existe una facilidad para cada género. La clave de la integración de las mujeres en ciberseguridad La clave en la integración de las mujeres al campo de ciberseguridad está en la colaboración. Si las empresas privadas nos unimos a gobiernos e instituciones educativas, podemos reducir de manera importante la brecha de género en la ciberseguridad. Lea también: Las mujeres ganan terreno en la ciberseguridad: tres historias que reivindican la historia La llegada de NUMU-BeDisruptive a Panamá, ha dado nacimiento el Centro Regional de Excelencia en Ciberseguridad (CREC), el cual ha establecido alianza junto al Instituto Técnico Superior Especializado (ITSE) y BID LAB; que nos ha permitido, entre varias cosas, la formación de dos promociones que suman casi 300 estudiantes solo en 2023. Y de esos estudiantes, un 40% son mujeres que se están desarrollando en el área de ciberseguridad, específicamente Hacking Ético y MSS/SOC (Análisis de Riesgo Cibernético). Incorporar mujeres y otros grupos en el campo de ciberseguridad permitirán el aporte de diferentes perspectivas que impulsarán la innovación de todos los negocios. La ciberseguridad se trata de mantenerse un paso adelante de los adversarios, y precisamente la diversidad puede ser la respuesta poderosa en la batalla por proteger nuestro entorno digital. FUENTE: Voz Calificada. »Brecha de género: un desafío de la ciberseguridad global» Martesfinanciero.com. 18/12/2023. (https://www.martesfinanciero.com/voz-calificada/brecha-de-genero-un-desafio-de-la-ciberseguridad-global/).
7 tendencias en ciberseguridad para el 2024
La industria de la ciberseguridad ha seguido en desarrollo, porque las empresas cada vez invierten más en ella. Para el 2024, se espera que 215 mil millones de dólares sean destinados en todo el mundo a la seguridad y administración de riesgos, señala Mauricio Gómez, cofundador de Fluid Attacks. Gómez plantea que “el costo del cibercrimen a nivel mundial nunca había sido tan alto como hoy, y se espera que para el próximo año alcance unos 9,5 billones de dólares. Puede ser beneficioso para las empresas conocer cómo se espera que sea el panorama de amenazas para el año que viene y qué medidas de seguridad deberían tomar para proteger sus servicios y su información y la de sus clientes”. A continuación, las tendencias en ciberataques y en medidas de ciberseguridad esperadas para el próximo año: Lea también: Ciberataques con IA, una de las grandes amenazas financieras para 2024 4. Aprovechamiento de la IA en la remediación de vulnerabilidades: Las soluciones en ciberseguridad que detectan fallas en la tecnología ofrecerán funcionalidades cada vez más sofisticadas haciendo uso de la IA para, por ejemplo, sugerir formas de remediación de las vulnerabilidades o porciones de código seguro con las cuales reemplazar aquellas con las que hay problemas. De hecho, “eso es algo en lo que ya hemos incursionado dentro de nuestra solución Hacking Continuo en Fluid Attacks, y los resultados se han mostrado bastante prometedores,” comenta Gómez. 5. Seguridad de la cadena de suministro de software: Las ofertas en seguridad de la cadena de suministro de software seguirán en aumento en el mercado, pero hay que recordar que no se trata solo de generar SBOMs (inventarios de componentes y dependencias) o hacer escaneos tipo SCA (software composition analysis). Adicionalmente, hay que tener en cuenta acciones como verificar la procedencia de las librerías u otros componentes y evaluar las políticas de seguridad de los proveedores y qué tan bien están cumpliendo estos con estándares reconocidos internacionalmente. Podría interesarle: Estas fueron las contraseñas menos seguras y más usadas en 2023, ¿está la tuya? 6. Regulaciones de divulgación en ciberseguridad y mayor responsabilidad de los CISOs: Se espera que entren en acción y se vayan fortaleciendo regulaciones internacionales en ciberseguridad que requieran que las empresas avisen prontamente cuándo han sufrido ciberataques y, además, den información exacta sobre el estado de su seguridad y el conocimiento que sus juntas directivas poseen respecto al tema. Así mismo, se espera que los CISOs de las empresas que fallen en seguir los requisitos de ciberseguridad sean tratados como legalmente responsables. 7. Etiquetas para reconocer dispositivos seguros: En 2024 se lanzará el programa Cyber Trust Mark en EE. UU., el cual busca certificar y etiquetar como seguros los dispositivos IoT. Estos dispositivos, que van desde refrigeradores hasta relojes inteligentes, no suelen ser protegidos lo suficientemente bien, por lo que son bastante atractivos para los cibercriminales. Debido a la necesidad de fortalecer la seguridad en estos productos, se busca exigir a productores y distribuidores la implementación de controles de protección de la información y de detección de incidentes, así como el suministro de actualizaciones continuas de software. De no cumplir con requisitos como estos, sus productos no serían etiquetados como seguros, lo cual afectaría enormemente su reputación. FUENTE: Redacción Tekios. »7 tendencias en ciberseguridad para el 2024» Tekiosmag.com. 18/12/2023. (https://tekiosmag.com/2023/12/18/7-tendencias-en-ciberseguridad-para-el-2024).
Marketing y digitalización 2024: protección de datos, innovaciones tecnológicas y humanos al centro
En el vertiginoso mundo del marketing y la digitalización, en el 2024, promete ser un año de transformación marcado por nuevas perspectivas, enfoques y legislaciones. Para Alejandra Ravera, Gerente General de la Asociación de Marketing Digital y Data de Chile (AMDD), este año el foco no solo será cómo conquistar a los clientes y a través de qué canales, sino en cómo conectar con los consumidores como humanos, cómo ganarse su confianza y proteger sus datos a través de buenas prácticas. Al respecto, una de las tendencias más destacadas en el último tiempo es la transición del “Consumer Centric Approach” al “Human Centric Approach“, fusionando datos, personas y marcas para comprender las motivaciones detrás de las acciones del consumidor. La evolución hacia el “Human Centric Approach” implica una integración más profunda de fuentes de información e investigación. Las grandes marcas reconocen la importancia de conectar datos de analítica con investigaciones cualitativas y escucha social, ubicando a las personas en el centro de las estrategias. En el corazón del “Human Centric Approach” se encuentra el first party data, un activo estratégico clave. Su optimización permite mejoras en la atención al cliente, oportunidades de cross-selling, entre otras cualidades. Sin embargo, aún existen retos como la falta de confianza en su naturaleza. Al respecto, Ravera comenta que “las crecientes restricciones legales, como la desaparición de cookies de terceros y regulaciones sobre inteligencia artificial, plantean desafíos éticos y operativos. El equilibrio entre el conocimiento del usuario y el respeto a la privacidad será fundamental, y las empresas deberán actualizarse al respecto”. La inteligencia artificial, otro de los puntos fuertes en marketing para 2024 En otro punto, se encuentra la inteligencia artificial (IA) que se erige como un pilar esencial en las estrategias de marketing digital, trascendiendo su papel como herramienta eficiente para transformarse en un impulsor clave de la experiencia del cliente. Su capacidad de personalización y automatización no solo potencia la eficiencia, sino que también eleva la relevancia de las interacciones. Sin embargo, el vertiginoso avance de estas tecnologías plantea la necesidad imperante de una regulación legislativa que salvaguarde su aplicación. Lea también: Tendencias en ciberseguridad 2024: la IA generativa desencadenará una nueva era de amenazas Respecto a esto, Macarena Gatica, Abogada y Vicepresidenta del Consejo de Ética y Autorregulación de AMDD, comenta que “consciente de estos desafíos, Chile se destaca en la región al presentar un proyecto de ley que busca regular los sistemas de IA, robótica y tecnologías conexas. El objetivo primordial de esta legislación es garantizar que la inteligencia artificial, en todas sus facetas, contribuya al incremento del bienestar humano, marcando un hito significativo en la búsqueda de un equilibrio entre avance tecnológico y responsabilidad social” Sumado a lo anterior, Gatica recomienda poner foco también en el Privacy-Centric Marketing o enfoque en la protección de los datos personales y privacidad del usuario. Con regulaciones en aumento, las marcas y empresas deben adaptarse al futuro sin cookies y centrarse en prácticas transparentes y seguras. El marketing y la digitalización en 2024 se caracterizan por abrazar la diversidad, centrarse en lo humano y adoptar innovaciones tecnológicas éticas. Aquellas marcas y empresas capaces de equilibrar la tecnología con la autenticidad estarán mejor posicionadas para construir conexiones significativas y duraderas en un mundo digital en constante evolución. FUENTE: e-press. »Marketing y digitalización 2024: protección de datos, innovaciones tecnológicas y humanos al centro» Mediabanco.com. 15/12/2023. (https://www.mediabanco.com/marketing-y-digitalizacion-2024-proteccion-de-datos-innovaciones-tecnologicas-y-humanos-al-centro/).
