Seguridad informática
Tendencias en seguridad informática
Con el avance de la Industria 4.0, las organizaciones están optando cada vez más por migrar sus sistemas a la nube, a la cual pueden estar conectados millones de computadores y dispositivos IoT. Esto impone un gran desafío de ciberseguridad a las empresas, que tienen que supervisar un número cada vez mayor de vulnerabilidades. En contraste al alza de ataques que vemos en el día a día, un 75% de los expertos de la industria considera que la ciberseguridad es la prioridad más importante en este momento. ¿Por qué entonces muchas empresas siguen siendo tan vulnerables? Un informe de McKinsey1 identificó las tres causas principales que aquejan a la mayoría de las organizaciones:
- Consideran que el problema es solamente del departamento de IT y éste debiera resolverlo: muchas veces la planta gerencial ni siquiera entiende el lenguaje técnico IT y como reacción natural delega el problema al departamento de informática.
- Invertir ciegamente recursos esperando que el problema se resuelva: el problema es que, sin importar la cantidad de recursos, es imposible blindar completamente todos los activos informáticos de una organización. Además, estudios aseguran que muchas veces existe una baja correlación entre los recursos que invierte una compañía en seguridad y el éxito de sus programas de ciberseguridad.
- Tratar la seguridad informática como un asunto de mero cumplimiento normativo: puede ocurrir que la organización pueda tiquear todos los puntos que exija la norma del momento, pero aún ser vulnerable.
¿Cuál sería la solución?
El principal problema al que se enfrentan las organizaciones es que es absolutamente imposible estar completamente a salvo de todos los tipos de ataques posibles. Es más, alrededor de la mitad de los ataques involucran empleados internos de la compañía, ya sea por descuido (hacer clic en correos maliciosos) o directamente por mala fe (por ejemplo, empleados intentando vender propiedad intelectual a la competencia). Debido a esto, la única forma de tener una estrategia coherente de seguridad es la priorización. Los pasos claves serían los siguientes:
- Inventariar: La compañía debe hacer un inventario de todos sus activos digitales, incluyendo datos, sistemas y aplicaciones.
- Evaluar el riesgo: es necesario asignar un nivel de criticidad a cada activo, no solamente desde el punto de vista IT, sino que desde el punto de vista del modelo de negocios completo de la compañía. Esto requerirá de la participación de toda la plana gerencial, no solamente del departamento de IT.
- Identificar ataques: es necesario identificar cuáles son los ataques más probables a los activos digitales inventariados, y compararlos con las defensas actuales de los sistemas. ¿Es suficiente? ¿Existe una zanja entre la criticidad de algunos activos y las defensas existentes?
- Actualizar los sistemas: finalmente las organizaciones deben mejorar los sistemas de seguridad de aquellos activos donde exista una zanja entre el nivel de criticidad y el nivel de seguridad, según los criterios que existan y el nivel de riesgo que se desee adoptar.
Este enfoque no es fácil, ya que requiere de la cooperación de distintas áreas dentro de una misma organización que muchas veces tienen intereses contrapuestos, por ejemplo: la gerencia de negocios con la gerencia de IT, o los empleados que pueden ver interrumpido su día a día con más controles.
La automatización está aquí para quedarse, por lo que es importante tomar el tema de la seguridad de forma proactiva y no reactiva, para que la multiplicación de sistemas y dispositivos sea de verdad un activo para las compañías y no un gran blanco para potenciales ciberataques.
1 Perspectives on transforming cybersecurity: Digital McKinsey and Global Risk Practice, Marzo de 2019. La información de este artículo es un resumen de lo contenido en este informe.