Tendemos a creer que, porque uno no sea una empresa del IBEX o, cuando menos, no tenga un tamaño significativo, no resulta interesante para los ciberterroristas, que nuestros datos no son un preciado botín para los hackers. Craso error, como también pensar que un antivirus es más que suficiente para garantizar la seguridad informática de la compañía.
Desgraciadamente, en el mundo digital la realidad es bien distinta a lo que ocurre en la calle. Los ladrones entran en casas o negocios donde saben que hay dinero, pero en esto de los ciberataques esta lógica no funciona, porque no siempre un ataque persigue un fin económico, como el celebérrimo WannaCry, que bloqueó miles de discos duros de organizaciones de 150 países a cambio de un rescate de 300 dólares por equipo.
La ciberdelincuencia también tiene como fin el espionaje industrial y, muchas veces, la estulticia de piratas que rivalizan entre ellos por ver quién es el mejor. Precisamente, la vulnerabilidad de las pymes en ciberseguridad las convierte en un blanco fácil. Sirva como ejemplo este dato del Instituto Nacional de Ciberseguridad de España (INCIBE), que señala que el 70% de los ataques informáticos va dirigido a pequeñas y medianas empresas. A nivel mundial, también queda aún mucho por hacer. Así lo refleja el Índice de Ciberseguridad Global 2017 elaborado por International Telecomunications Union (ITU), que muestra que en el TOP20 de los países más comprometidos con la ciberseguridad sólo hay uno hispanoparlante, España, y ocupando la posición 19.
Vista esta debilidad, y sea cual sea el fin último del hacker, lo cierto es que un ataque ciberterrorista da de lleno a la reputación de la empresa. Si no puedes protegerte, ¿cómo vas a proteger a tus clientes? El resultado es la pérdida de confianza y, como un efecto dominó, la fuga de clientes poniendo en peligro la supervivencia del negocio. No es, por tanto, una cuestión baladí.
Tampoco hay que ver la ciberseguridad como un gasto, sino como una inversión. Es más, hay un primer estadio que, incluso, no incurre en elevados costes. Se trata de tomar medidas de precaución tan sencillas como no usar logins débiles, no abrir correos desconocidos o acceder a páginas no fiables para evitar el robo de identidad, ajustar firewalls o ignorar privilegios. Medidas que hay que transmitir a toda la empresa y con las que se pueden frenar muchos ataques. No en vano, algo más de la mitad de las brechas en seguridad se producen porque las personas, los trabajadores, cometemos errores, según desvelaba recientemente IBM en su encuentro anual Security Summit 2017. Por tanto, en lo primero que hay que invertir es en educación, en concienciación de los usuarios.
Pero hay un segundo nivel en el que ya no valen medidas educativas y de sentido común. La transformación digital nos lleva hacia un ecosistema hiperconectado. Para 2020, el Internet de las Cosas (IoT) tendrá más de 20.000 millones de dispositivos conectados en todo el mundo, según la consultora Gartner, lo que en materia de seguridad significa que se multiplican los riesgos de ciberataques. En este escenario, la seguridad total nunca se llegará a alcanzar, reconocían expertos citados hace unas semanas en una jornada sobre ciberseguridad organizada por la Asociación para el Progreso de la Dirección (APD).
En este punto, lo que hay que hacer es darle al CISO (Chief Information Security Officer) el protagonismo que se merece o crear esta figura, si no se tiene. Al menos, un equipo que sepa identificar un ataque y actuar para combatirlo. Para ello, se debe diseñar un plan de contingencia basado en tres pilares: prevención, detección y respuesta. Protocolos de seguridad básica como los anteriormente citados, herramientas de análisis de comportamiento de los usuarios a través del Machine Learning, firewalls perimetrales, diseño de arquitecturas de seguridad vinculadas… Cualquier alternativa que sirva para prevenir e identificar el ciberterrorismo. Y a partir de aquí, todo un plan de acción para frenar el ataque y recuperar el sistema, si no es demasiado tarde. Porque para los hackers esto es una diversión, y resulta muy difícil identificarles. Con enemigos así, la prevención es la mejor arma de defensa.
