El secuestro de datos provoca pérdidas millonarias: qué pueden hacer las empresas para estar preparadas
Los ataques ransomware, también conocidos como secuestro de datos, aumentaron más del 37% en el último año, mientras que las demandas de rescate son superiores a los 5 millones de dólares en promedio. Así lo detalla un informe de Check Point Software, un proveedor especializado en ciberseguridad a nivel mundial, que detalló que los sectores más amenazados por este tipo de ciberataques son la educación, el gobierno/militar y la sanidad. Según detalla la empresa, en 2022 la demanda media por rescate que los ciberdelincuentes pedían a los gobiernos era de 2,07 millones de dólares, cifra que ahora se elevó a los 5 millones. Ataques de ransomware: ¿Qué pueden hacer las empresas para prevenir el secuestro de datos? Check Point Software explica que es cada vez más fundamental que exista una preparación proactiva a nivel empresarial en materia de ransomware para limitar el impacto que pueda tener. Una de las mejores prácticas para lograrlo es la puesta en marcha de simulacros, en la que los miembros de un equipo aprenden cómo actuar en caso de ataque según su puesto asignado y se presentan como una estrategia clave para estar preparados. Estos son los puntos clave para llevar a cabo correctamente un simulacro: Educación de base: los empleados involucrados en los simulacros deben conocer las razones por las que hay que enfrentarse a estos incidentes y, sobre todo, las herramientas para hacerles frente. Si el simulacro se hace con todo el equipo, los coordinadores deben facilitar toda la información relativa a la terminología clave y su propósito. Crear un ambiente de colaboración: un aspecto que a menudo se pasa por alto cuando se realizan los simulacros es configurar un entorno agradable, en el que todos se sientan libres de expresarse y aportar ideas. Los facilitadores deben explicar que este proceso tiene el objetivo de mejorar la ciberseguridad de la empresa. Crear un «ataque» realista: que la situación sea lo más realista posible es la clave. Se podría comenzar con un correo electrónico de phishing que lleve al cifrado de datos sensibles de los clientes. Este escenario continuaría con el descubrimiento de la brecha, la notificación a la policía, una demanda de rescate y la restauración de sistemas desde copias de seguridad. También podría ocurrir que los llevase a tomar una decisión sobre el pago del rescate. Lea también: 6 recomendaciones para mitigar los riesgos de ciberseguridad en la red 5G Variaciones del escenario: los coordinadores deben idear diferentes obstáculos para incorporarlos al ejercicio. Por ejemplo: plantear un primer escenario en el que la demanda de rescate es exorbitante. En otra posibilidad, aparece una cepa diferente de ransomware para la que hay que actuar en un máximo de 24 horas. Contar con diferentes opciones de simulacro permite que los equipos estén preparados para circunstancias inesperadas. Evaluación final: una vez concluido el ejercicio, hay que realizar una evaluación y tener en cuenta las fortalezas y debilidades del equipo, además de revisar los planes de respuesta. Hay que considerar aquello que funcionó bien durante el ejercicio, cómo fue la comunicación en el equipo, si cumplieron con los procedimientos establecidos y cómo reaccionaron ante los cambios inesperados. FUENTE: Ciberseguridad. »El «secuestro de datos» provoca pérdidas millonarias: qué pueden hacer las empresas para estar preparadas» Cronista.com. 16/12/2023. (https://www.cronista.com/infotechnology/mundo-cio/el-secuestro-de-datos-provoca-perdidas-millonarias-que-pueden-hacer-las-empresas-para-estar-preparadas/).
El cambio revolucionario que ha introducido Google Maps y que mejorará tu privacidad
Google se ha visto envuelta en escándalos relacionados con la privacidad de los usuarios en algunas ocasiones. Sin ir más lejos, en julio de este año, una resolución de un caso judicial en el estado de Washington (EEUU) obligó a la Big Tech a pagar una multa de 39.900 millones de dólares (unos 36.630 millones de euros) por engañar a sus consumidores sobre la recopilación de datos de ubicación cuando estos la desactivan expresamente. La marca aceptó la sanción pese a negar su culpabilidad y, ahora, en un intento de mejorar su imagen, aseguran que guardarán el historial de localización de Google Maps localmente y no en la nube. Google Maps es la aplicación que más se utilizan los españoles para moverse, tanto dentro de España como en el extranjero. No obstante, los más preocupados por su privacidad, han expresado en más de una ocasión el temor ante la posibilidad de que esta se vea vulnerada al usar estos servicios. La nueva idea de los de Alphabet consiste en almacenar los datos de búsqueda de lugares visitados dentro de la memoria de los dispositivos en lugar de hacerlo en servidores en la nube. Por poner un ejemplo, esta medida es parecida a lo que hace Meta con WhatsApp, con sus mensajes cifrados de extremo a extremo. ¿Qué cambiará con la nueva medida de Google Maps? Hasta la fecha, el historial de nuestros movimientos dentro de Google Maps se registraban de forma automática si habíamos dado permiso, y se almacenaban en los servidores de la compañía. Cada vez que abríamos la plataforma, o la usábamos a través de Android Auto, la aplicación accedía a nuestra cuenta y descargaba los datos de localización para, posteriormente, guardarlos en la nube. Eso ya no va a ser así, lo cual supondrá una mejora en la privacidad de los datos de los usuarios que utilizan Google Maps. ¿Cómo? En lugar de almacenarse en la nube, lo harán localmente, es decir, en el mismo dispositivo. Así, los internautas podrán elegir entre eliminarlos o mantenerlos para optimizar la experiencia con la plataforma. Lea también: 6 recomendaciones para mitigar los riesgos de ciberseguridad en la red 5G A pesar de guardarse localmente, la información se sincronizará automáticamente en todos los dispositivos en los que se utilizan Google Maps con la cuenta con lo que lo utiliza. De este modo, las rutas o lugares que hayas guardado en la aplicación podrás verlas en tu teléfono, en el ordenador o desde el coche. Los datos de localización se eliminarán por defecto Además, otra novedad que atañe a la privacidad en Google Maps consiste en el borrado automático de los datos de localización cada tres meses en las cuentas nuevas por defecto. Actualmente, esta medida que elimina la información cada cierto tiempo también se aplica por defecto, sin embargo, lo hace cada 18 meses. FUENTE: Holgado, Raquel. »El cambio revolucionario que ha introducido Google Maps y que mejorará tu privacidad» 20minutos.es. 15/12/2023. (https://www.20minutos.es/tecnologia/ciberseguridad/cambio-revolucionario-google-maps-mejorara-privacidad-5199136/).
¿Qué datos personales extrae de tu móvil Threads, la nueva red social de Meta?
¿Puede Threads, la nueva red social de Meta, violar tu privacidad? El gigante tecnológico estadounidense anunció el jueves la lllegada a la Unión Europea (UE) de la aplicación con la que pretende imponerse a X, anteriormente conocida como Twitter. Su aterrizaje europeo llega cinco meses después que en el resto del mundo porque las sospechas de que podía suponer una violación de las leyes de protección de datos comunitarios lo bloquearon. Ese temor sigue ahí. Parte del retraso de Threads se explica porque la ‘app’ se nutre de datos de los usuarios de Instagram, también aquellos que revelan su comportamiento y que se usan para vender publicidad. Ese tipo de extracción y explotación comercial no está permitido por el Reglamento General de Protección de Datos (RGPD) de la UE. Esta pionera regulación llevó, en mayo, a imponer un multa récord a Meta de 1.200 millones de euros. Lea también: La Unión Europea prohíbe a Meta el uso de datos personales para publicidad En julio, poco después del lanzamiento de Threads, se informó que Meta debía esperar a la aprobación de la Comisión Europea para poder desplegar su nueva plataforma en los países europeos. Por ahora, se desconoce si Bruselas le ha dado luz verde. «Tomamos nota de la decisión de Meta de ofrecer Threads a los consumidores y empresas de la Unión», se ha limitado a responder un portavoz del brazo ejecutivo de la UE en declaraciones a EL PERIÓDICO. ¿Qué datos utiliza Threads? Cada vez que aceptas sin leer los términos y condiciones para acceder a una red social cedes tus datos. Pasa lo mismo con Threads. Además de todos los contenidos que compartas, la nueva red social de Meta también recopila tu nombre, dirección, número de teléfono, datos de salud, información confidencial y financiera, localización y tu historial de navegación y de compras, según se especifica en las tiendas digitales de aplicaciones como App Store o Google Play. Threads es una ‘app’ vinculada a Instagram, con lo que comparte una política de privacidad común. En este documento se detalla que, previo consentimiento, Meta puede usar información sensible como tu orientación sexual, creencia religiosa, ideología política u origen racial para «mejorar» sus servicios. También precisa que tu actividad, tu comportamiento, tus transacciones y los metadatos que se desprenden de ellos pueden ser explotados para mandarte publicidad personalizada. Esta es el principal motor de su milmillonario negocio. La novedad de Meta será compatible con un protocolo descentralizado que le permitirá ser interoperable con otras plataformas. A la práctica, eso supone que los usuarios de Threads podrán compartir mensajes con una cuentas de otras ‘apps’ similares como Mastodon. Aunque esa función aún no está operativa, su política de privacidad complementaria ya explicita que «también recogemos y tratamos información sobre los usuarios externos aunque no tengan una cuenta en Threads«. ¿Es legal? La lógica extractiva del gigante tecnológico capitaneado por Mark Zuckerberg hace temer que Threads pueda violar las leyes que garantizan la privacidad de los europeos. El pasado viernes, el Comité Europeo de Protección de Datos reiteró su decisión vinculante y de urgencia que prohíbe a Facebook e Instagram rastrear los datos personales de sus usuarios para usarlos con fines publicitarios. Este jueves, el abogado austríaco Max Schrems, célebre por sus enfrentamientos legales con grandes empresas tecnológicas como Meta, ha compartido una sentencia del Tribunal de Justicia de la Unión Europea en la que aclara algo que bien podría aplicarse en el caso de Threads: «El temor que experimenta un titular ante un posible uso indebido de sus datos personales por parte de terceros como consecuencia de una infracción del RGPD puede constituir, en sí mismo, un daño moral». FUENTE: Planas Bou, Carles. »¿Qué datos personales extrae de tu móvil Threads, la nueva red social de Meta?» Elperiodico.com.co. 15/12/2023. (https://www.elperiodico.com/es/tecnologia/20231215/datos-extrae-threads-aplicacion-meta-privacidad-red-social-instagram-twitter-95849309).
3 áreas claves para una estrategia de ciberseguridad exitosa, según Dell Technologies
En un panorama digital donde las organizaciones dependen cada vez más de datos cruciales y aplicaciones web de misión crítica, Dell Technologies destaca las tres áreas esenciales para una estrategia de ciberseguridad exitosa. 1 – Reducción de la Superficie de Ataque Para fortalecer la seguridad, se enfatiza la importancia de minimizar la superficie de ataque en todas las ubicaciones, incluyendo el edge, el core y la nube. Entre las medidas preventivas se encuentran: 2 – Detección y Respuesta a Amenazas Cibernéticas Para mantener una postura de ciberseguridad sólida, las organizaciones deben utilizar tecnologías avanzadas de detección de amenazas, incluyendo: 3 – Recuperación tras un Ciberataque Para garantizar la resiliencia y una rápida recuperación, se destaca la importancia de: Podría interesarle: El 60% de los CEO a nivel global no incorpora la ciberseguridad en las estrategias empresariales En un entorno digital en constante evolución, estas tres áreas clave forman la base de una estrategia de ciberseguridad integral y proactiva. Dell Technologies subraya la necesidad de adaptarse y fortalecer continuamente las defensas para hacer frente a las amenazas cibernéticas en constante cambio. FUENTE: Herrero Adrados, Antonio. »3 áreas claves para una estrategia de ciberseguridad exitosa, según Dell Technologies» Silicon.es. 11/12/2023. (https://www.silicon.es/3-areas-claves-para-una-estrategia-de-ciberseguridad-exitosa-segun-dell-technologies-2491791).
La Unión Europea prohíbe a Meta el uso de datos personales para publicidad
La Unión Europea a través del Comité Europeo de Protección de Datos o CEPD ja prohibido a Meta el uso de datos personales para fines publicitarios. Nuevo golpe contra Meta (Facebook) en la Unión Europea contra el rastreo de información personal de los usuarios. El Comité Europeo de Protección de Datos o CEPD ha prohibido a la red social de Mark Zuckerberg utilizar los datos personales de los usuarios para fines publicitarios. Incluso le ha impuesto una multa por 390 millones de euros. La medida del CEPD es vinculante y de urgencia, ya que Meta no cuenta con una “base jurídica adecuada” para explotar los datos de los usuarios con el propósito de realizar publicidad comportamental. Incluso viola al Reglamento General de Protección de Datos o RGPD. Desde el regulador lamentan la falta de cumplimiento de las normas por parte de Meta que se suma a la prohibición temporal por parte de Noruega con una multa diaria de casi 89.000 euros. Ante este escenario, Meta lanzó una suscripción de pago en sus principales plataformas obligando a los usuarios a pagar 12.99 euros al mes para evitar que sus datos sean rastreados. Algo que fue criticado por la UE y llevado a tribunales por violar leyes de privacidad. Pero el rastreo de datos no es el único problema al que se enfrenta Meta, también está en el ojo del huracán por prácticas desleales y engañosas. ¿Qué dicen los analistas? Según Tipranks, Meta cuenta con la revisión de 38 analistas divididas en 37 compras y 1 mantener. El precio objetivo promedio es de 387.71 dólares con un pronóstico alto de 435 dólares y un pronóstico bajo de 345 dólares. El precio objetivo promedio representa un cambio del 19,19% con respecto al cierre del lunes. Meta (Facebook) cerraba la sesión del lunes a la baja en los 324.98 dólares. La media móvil de 70 periodos se encuentra debajo de las últimas velas, RSI a la baja en los 49 puntos y las líneas del MACD se mantienen sobre el nivel de cero. Lea también: Google crea el ordenador más infectado con malware: este es el motivo La resistencia a largo plazo se encuentra en los 352.69 dólares. Mientras, los indicadores de Ei se muestran mixtos. FUENTE: Redacción/Estrategias de Inversión. »La Unión Europea prohíbe a Meta el uso de datos personales para publicidad» Estrategiasdeinversion.com. 12/12/2023. (https://www.estrategiasdeinversion.com/actualidad/noticias/bolsa-eeuu/la-union-europea-prohibe-a-meta-el-uso-de-datos-n-670797).
Tendencias en ciberseguridad 2024: la IA generativa desencadenará una nueva era de amenazas
En 2024 se espera una inminente proliferación de ataques basados en Inteligencia Artificial (IA), según advierte Trend Micro, centrándose en el papel transformador de la IA generativa (GenAI). Ante este escenario, se destaca el papel clave de la industria para liderar regulaciones y adoptar estrategias defensivas innovadoras. Eric Skinner, vicepresidente de estrategia de mercado de la firma, destaca la amenaza significativa de grandes modelos lingüísticos avanzados (LLM) en el phishing, ya que eliminan indicadores tradicionales, dificultando su detección. En este contexto, el experto recomienda que las empresas adopten controles de seguridad modernos para superar las limitaciones humanas. Asimismo, se pronostica que la disponibilidad generalizada y la calidad mejorada de GenAI, junto con el uso de Redes Generativas Adversativas (GAN), transformarán el mercado del phishing en 2024. Esto permitirá la creación rentable de contenido audiovisual hiperrealista, impulsando fraudes como el compromiso de correo electrónico empresarial (BEC) y secuestros virtuales. Lea también: Ciberataques con IA, una de las grandes amenazas financieras para 2024 Dado el atractivo de ganancias lucrativas, los actores de amenazas se incentivarán a desarrollar herramientas GenAI maliciosas o a utilizar las legítimas con credenciales robadas y VPN para ocultar sus identidades. Además, desde Trend Micro también se advierte sobre posibles ataques a modelos de IA en 2024, especialmente a aquellos basados en la nube, siendo un objetivo atractivo. Los ataques de envenenamiento de datos podrían tener diversas consecuencias, desde la filtración de datos hasta la interrupción de sistemas de fraude y vehículos conectados. Sorprendentemente, realizar estos ataques ya tiene un costo inferior a los 100 dólares. Estas tendencias podrían provocar un mayor escrutinio normativo y un impulso en la industria de la ciberseguridad para abordar estos desafíos. Se anticipa que el próximo año, el sector cibernético tomará la delantera en el desarrollo de políticas y normativas específicas para la ciberseguridad de la IA, y se espera un movimiento rápido hacia la autorregulación voluntaria en la industria. Desafíos por venir FUENTE: González, Paloma. »Tendencias en ciberseguridad 2024: la IA generativa desencadenará una nueva era de amenazas» Future.inese.es. 14/12/2023. (https://future.inese.es/tendencias-en-ciberseguridad-2024-la-ia-generativa-desencadenara-una-nueva-era-de-amenazas/).
El 60% de los CEO a nivel global no incorpora la ciberseguridad en las estrategias empresariales
Según Accenture, más de cuatro de cada diez CEO considera que la ciberseguridad requiere de acciones esporádicas en lugar de una atención continua. La ciberseguridad se ha convertido en un elemento crucial para los CEO y la estabilidad de los negocios, pero las empresas todavía no toman medidas para ciberprotegerse. Esa es una de las conclusiones de la investigación “The Cyber-Resilient CEO”, de Accenture, que encuestó a 1.000 CEO de grandes organizaciones a nivel global para conocer cómo están abordando la ciberseguridad. Según este estudio, el 60% de los líderes aseguró que sus organizaciones no incorpora a la ciberseguridad en las estrategias empresariales, servicios o productos desde el inicio y el 54% de estos cree que el costo de implementar la ciberseguridad es mayor al de sufrir un ciberataque. Según Carolina Pizarro, directora Asociada de Ciberseguridad de Accenture Chile, asimismo, más de cuatro de cada diez CEO considera que la ciberseguridad requiere intervenciones esporádicas en lugar de una atención continua. Podría interesarle: Ciberataques con IA, una de las grandes amenazas financieras para 2024 “Desafortunadamente, a menudo solo después de experimentar un incidente cibernético importante, las empresas elevan la ciberseguridad a una prioridad de la junta directiva y la alta dirección”, comenta Pizarro, quien advierte que la aceleración de la inteligencia artificial hace que sea aún más esencial para las organizaciones tomar medidas para garantizar la seguridad de sus datos y activos digitales. La investigación resaltó que existe un pequeño grupo al que denomina “CEO Ciberresiliente” y que representa solo al 5% de los encuestados. Estos, según Accenture, utilizan una visión más amplia para evaluar la ciberseguridad en todos los aspectos de sus organizaciones y toman acciones de manera proactiva para fortalecerla. “Las compañías de estos líderes detectan, contienen y remedian amenazas cibernéticas más rápido que otras organizaciones. Como resultado, sus costos por violaciones de seguridad son considerablemente más bajos, y su desempeño financiero es significativamente mejor que el resto, logrando un 16% más de crecimiento de ingresos, un 21% más de mejoras en la reducción de costos y un 19% de mejoras en los balances, en promedio”, detalla la consultora. En el lado opuesto, los CEO rezagados en ciberseguridad suponen el 46% del total y no toman de forma consistente ninguna acción. FUENTE: Forbes Staff. »El 60% de los CEO a nivel global no incorpora la ciberseguridad en las estrategias empresariales» Forbes.cl. 07/12/2023. (https://forbes.cl/tecnologia/2023-12-07/el-60-de-los-ceo-a-nivel-global-no-incorpora-la-ciberseguridad-en-las-estrategias-empresariales
Ciberataques con IA, una de las grandes amenazas financieras para 2024
El uso de sistemas basados en inteligencia artificial – IA -, para perpetrar ataques cibernéticos será uno de los grandes riesgos financieros durante el siguiente año, de acuerdo con el informe Predicciones de Amenazas Verticales, elaborado por Kaspersky. Los expertos analizaron el avance de las tecnologías y la evolución de las técnicas empleadas por los ciberdelincuentes. Anticiparon que la utilización de recursos de IA para efectuar fraudes bancarios crecerá de manera exponencial, para convertirse en uno de los peligros financieros más destacados durante los próximos doce meses. Lea también: Seis errores comunes en ciberseguridad que perjudican a las empresas en Latinoamérica “Estas herramientas se utilizarán para generar anuncios, correos electrónicos y sitios web falsos que imitarán a los canales y plataformas legítimas de las instituciones financieras, dificultando la distinción entre contenido auténtico y fraudulento. La barrera de entrada para los ciberdelincuentes disminuirá y el potencial de fraude aumentará”, indica el reporte. Causa preocupación la proliferación de softwares de código abierto con salvaguardas insuficientes. El acceso generalizado a estos sistemas, que no siempre están protegidos contra vulnerabilidades sofisticadas, podrían dar lugar a un mayor número de violaciones de datos y pérdidas financieras. La adopción de sistemas automatizados de transferencia entre los hackers se perfila como un peligro latente para la banca móvil a nivel mundial. “Esta tecnología surgió en los troyanos bancarios móviles brasileños y permite a los ladrones redirigir las transferencias electrónicas de smartphones infectados”, detalla el documento. A través de estas plataformas, los delincuentes informáticos pueden automatizar ataques a gran escala de manera simultánea. Ciberataques financieros con nuevos objetivos, gracias a la IA Los sistemas de pago digitales serán el nuevo blanco para los transgresores. Las billeteras digitales, sistemas de pago sin contacto y transferencias de cuenta a cuenta han registrado un crecimiento importante como métodos para realizar transacciones bancarias. Su funcionamiento requiere de mantener una conexión constante a la red. Esta condición facilita las actividades de los delincuentes. Los analistas de Kaspersky prevén que, durante el siguiente año, se desarrollará un malware dedicado para atacar estos métodos de pago. Datos entregados por Ebanx indican que, en Latinoamérica, los países con mayor uso de pagos alternativos son Colombia (con 50% de penetración), El Salvador (49%) y Brasil (48%). México se ubica en la quinta posición (34%), por debajo de Perú. Los virus troyanos bancarios mantendrán su expansión global. El avance será importante para los softwares maliciosos creados y difundidos desde Brasil. “Familias de malware como Grandoreiro están preparadas para llevar a cabo estafas en más de 900 bancos repartidos por 40 países”, puntualiza el reporte. Los ataques contra dispositivos y servicios empresariales configurados con bajas medidas de seguridad registrarán una tendencia a la alza. La obtención de datos bancarios confidenciales será prioridad para los atacantes. Los expertos anticipan que habrá una disminución en la explotación de vulnerabilidades desconocidas en programas, herramientas y servicios de reciente lanzamiento. Los delincuentes informáticos adoptan nuevos modelos de operación Kaspersky detecta una evolución en la forma de operar de los criminales informáticos. El ecosistema de afiliación estará conformado por miembros temporales, que alternarán sus actividades entre diferentes grupos delictivos de forma simultánea. “Esta adaptabilidad dificultará cada vez más la labor de las autoridades policiales a la hora de localizar y combatir el ransomware”, explican. Los atentados de esta naturaleza, por tanto, serán más selectivos y perjudiciales. Isabel Manjarrez, investigadora de seguridad del Equipo Global de Investigación y Análisis de Kaspersky, aseguró que “la principal conclusión que podemos extraer de nuestras previsiones es que la ciberdelincuencia está simplificando sus operaciones. Este hallazgo indica que las estafas más comunes, como el ransomware y el fraude financiero, se encuentran en una fase de maduración en la que los estafadores ya saben lo que deben hacer y están reduciendo el esfuerzo necesario para ser rentables”. El reciente informe semestral sobre amenazas cibernéticas de las empresas de seguridad FortiGuard Labs de Fortinet, señalan que América Latina y el Caribe han sufrido más de 360,000 millones de intentos de ciberataques en 2022. Por país, México encabezó la lista con 187,000 millones de ciberataques (un aumento interanual de 20%), seguido de Brasil (103,000 millones de incidencias), Colombia (20,000 millones) y Perú (15,000 millones). En el último año las estafas financieras aumentaron un 50% en la región, mientras que en México el crecimiento fue del 41%, calculó Kaspersky. El fenómeno tiene un impacto económico a gran escala. La firma de seguridad Lumu indica que el costo promedio de una brecha de datos para una organización a nivel mundial es de 4.3 millones de dólares, mientras que en Latinoamérica alcanza los 2.8 millones de dólares. Estimaciones de Fluid Attacks apuntan a que el costo del cibercrimen crecerá en la región a 8,000 millones de dólares este año. FUENTE: González, Fernanda. »Ciberataques con IA, una de las grandes amenazas financieras para 2024» Es.wired.com. 08/12/2023. (https://es.wired.com/articulos/ciberataques-con-ia-una-de-las-grandes-amenazas-financieras-para-2024).
Tres motivos para NO invertir en ciberseguridad
¿Es usted ejecutivo (no necesariamente de Tecnología) dentro de una empresa mediana o grande? ¿Le han hablado sobre ciberseguridad recientemente? ¿Quiere invertir en ciberseguridad? Esto le interesa. A pesar de tener ya varios años de evolución, el mercado de ciberseguridad está en boga y hay varios factores que así lo indican. Desde la oferta: compañías tradicionales del área de TI han invertido recientemente para adquirir o reforzar sus áreas de ciberseguridad, se llevan a cabo grandes conferencias globales con miles o decenas de miles de asistentes como RSA Conference, BlackHat, DEFCON o Infosecurity, y además de las grandes empresas ya establecidas en el sector, hay una gran cantidad de startups enfocadas en diferentes nichos dentro de la ciberseguridad. Si vemos el punto de vista de la demanda, más empresas consideran ciberseguridad en su presupuesto. El Foro Económico Mundial en su estudio anual de riesgos globales tiene elementos de ciberseguridad entre alguna de las prioridades. Cada vez más, la prensa de negocios y aún la más general, atienden tópicos de ciberseguridad. Todo esto no es casualidad; con la transformación que los negocios han tenido para usar cada vez más tecnología y aprovechar una sociedad cada vez más digitalizada, una falla o un ataque a la infraestructura tecnológica puede tener un impacto fuerte en cualquier organización. Por algo se dice que hoy prácticamente cualquier empresa, sin importar su vertical de negocio, es también una empresa de tecnología. Con todo lo anterior ¿por qué entonces el título de este texto habla sobre motivos para NO invertir en Ciberseguridad? Porque si bien hay razones evidentes por las cuales se debe invertir en ciberseguridad, también hay motivos por lo que no se recomienda hacerlo. Revisemos tres de ellos: No invertir por miedo “Un ataque de ciberseguridad puede tener un costo que va de seiscientos cincuenta mil a más de 5 millones de dólares por organización y de 5,000 dólares en promedio por cada cliente o empleado que se tenga comprometido”, “hay CEOs que ya han sido despedidos por problemas de ciberseguridad”, “fallas de cumplimiento pueden acarrear multas de varios millones de dólares”, “el atacante promedio puede permanecer dentro de la organización por más de 70 días hasta que es descubierto”, “el rescate que los atacantes exigen ante un ataque de ransomware tiene un rango de 100,000 a varios millones de dólares”. Muchos hemos leído o escuchado frases similares, en general son datos y cifras con cierto apego a la realidad. Pero, más allá de su exactitud y validez para su país e industria en la que opera, hay que tener cuidado sobre qué hacemos con esta información. Estas cifras debieran ayudar para ofrecer un contexto y apoyar a generar conciencia sobre la importancia de invertir en tecnología, personas y procesos alrededor de la ciberseguridad. Tristemente, algunos oferentes de tecnología y servicios las usan para generar miedo y entonces promocionar una tecnología o servicio en particular como antídoto para ese temor generado, lo cual es una trampa. Comprar por miedo puede hacerle tomar decisiones equivocadas. No invertir por cumplimiento Hace varios años, mientras asistía a un diplomado sobre negocios, el instructor nos contó una broma que se me quedó muy grabada: “Si solo hago cumplimiento, entonces cumplo y miento”. Esto tiene algo de verdad por detrás. No está mal usar tecnología para apegarse a marcos de referencia o cumplir regulaciones (HIPAA, PCI-DSS, GDPR, son algunos ejemplos) que algunos países y algunas industrias exigen para garantizar un mínimo de confiabilidad en la infraestructura que soporta sus negocios. El problema es cuando se invierte e implementa solo en lo mínimo necesario para cumplir, pues puede generarse una falsa sensación de seguridad. Podría interesarle: 83 medios españoles demandan a Meta por incumplimiento de la protección de datos y competencia desleal La razón para esto es que las normas suelen ser específicas para una parte del negocio. Por mencionar algunos ejemplos: una norma para el manejo de datos personales puede quedarse corta en los mecanismos para pago. Una norma que atiende los sistemas de pago puede quedarse corta en la revisión de los sistemas de tecnología operativa (OT). Una norma relativa a ambientes operacionales puede quedarse corta respecto a privacidad de datos personales, y así sucesivamente No invertir por moda Hace algunos años vino el “boom” de las tablets y las ofertas para gestionar de mejor manera el “bring your own device” (BYOD) se multiplicaron. Vino después la nube y la consiguiente oleada de tecnologías y servicios para atender requerimientos relacionados con ella. Cada vez que hay un cambio en la manera en cómo individuos u organizaciones consumen tecnología, hay un nuevo conjunto de ofertas para atender ese cambio. Es ilógico no considerar aprovechar tecnologías o innovaciones recientes pero es importante hacerlo de forma adecuada. Aparte de la nube, hoy en seguridad tenemos muchas conversaciones alrededor de la inteligencia artificial (IA) o el Secure Access Service Edge (SASE) por mencionar un par de ejemplos. ¿Debiera tener toda mi tecnología usando inteligencia IA? ¿Debieran estar todos mis usuarios en un modelo SASE? Tiene sentido en algunos casos, pero no siempre y no para todo. Los oferentes de tecnología y servicios de ciberseguridad debemos buscar entender el negocio, aconsejar sobre los casos de uso más apropiados y siempre brindar opciones. Observar una postura absolutista, sin alternativas de hacer cambios de forma gradual en donde tenga sentido, debiera ser un foco rojo en la conversación. Es necesario analizar cuidadosamente cada organización, alinear la dirección tecnológica con las prioridades del negocio para mejorar márgenes, incrementar la lealtad de clientes, reducir costos, atender nuevos mercados, etc. para entonces determinar qué inversión tiene sentido y cómo debiera hacerse. Esta es una vieja receta que no debe cambiar, sin importar de qué tecnología estemos hablando. FUENTE: Comunicados de prensa. »Tres motivos para NO invertir en ciberseguridad» Mediabanco.com. 06/12/2023. (https://www.mediabanco.com/tres-motivos-para-no-invertir-en-ciberseguridad%EF%BF%BC/).
