No esperes al ciberataque

No es una afirmación arriesgada pensar que todas las entidades serán objeto de un ciberataque, una cuestión que podrá suceder más pronto que tarde (si no se ha sufrido ya). Pequeñas empresas víctimas del secuestro de su información, grandes entidades con portales inutilizados al recibir ataques de denegación de servicio (como en el caso de Lloyds en enero de este año), robo de secretos industriales (como el sufrido por ThyssenKrupp el pasado diciembre), espionaje a gobiernos (como el reciente robo de correo electrónico del partido Demócrata de EEUU y el espionaje al gobierno italiano) y un largo etcétera que solo va en aumento (sólo en 2016 la cifra de incidentes informáticos gestionados rondó los 19.000).

España es el tercer país del mundo donde más ciberataques se producen. Considerando únicamente los ataques denunciados (el 70% de los ciberataques sufridos no se publican, ni se informan ya que hay empresas que optan por no denunciar por temor a perder la confianza de sus socios y clientes), éstos aumentaron alrededor de un 130% durante el pasado año 2016 (Economía Digital). Más de un tercio de las organizaciones que se vieron afectadas por un ataque de ciberseguridad en 2016 tuvieron pérdidas superiores al 20% de clientes, de ingresos y oportunidades de negocio (Informe Anual de Ciberseguridad 2017 de Cisco).

No es sencillo recuperarse del impacto de un ciberataque ya que hay que contemplar, entre otros, los siguientes ámbitos a los que hacer frente:

Pérdida de beneficios por interrupción de negocio (como ataques de denegación de servicio que inutilizan portales).
Robo de datos (secreto industrial, datos personales, etc.).
Gastos por extorsión.
Daños o pérdida de datos en los sistemas informáticos.
Gastos en notificación de afectados, gestión de crisis, recuperación de sistemas e información.
Coste de la responsabilidad Civil y Legal con sanciones y reclamaciones (por entidades como Agencia de Protección de Datos u otras entidades públicas).
Coste reputacional de imagen y de reputación en RRSS (especialmente en servicios financieros, banca, salud, derecho u otros servicios en que se trata información de carácter personal).

El riesgo para empresas y gobiernos de sufrir un ciberataque no se debe ignorar. En la actualidad, entidades, organismos públicos y administraciones optan por tomar diferentes posturas:

Ignorar que exista ningún tipo de riesgo, es la opción más irresponsable y la que más tarde o más temprano (porque recibir un ciberataque es solo cuestión de tiempo) impactará en la entidad sin que tenga un medio de bloquear, mitigar ni responder ante el mismo. Esta actitud puede suponer el fin de las operaciones de la entidad.
Se puede renegar de la tecnología, como el caso del gobierno Holandés que ha decidido volver al recuento manual de los votos y comunicaciones de resultados por teléfono en las elecciones legislativas de marzo 2017, para evitar el riesgo de ciberataques. Puede que sea una opción extrema tomada en casos puntuales pero no es aceptable para sobrevivir en un entorno digital como el actual en el que tanto el sector privado como el público ya han digitalizado o están en proceso de digitalizar sus procesos.
Se puede estudiar cual es la situación en la que se encuentra la Organización y tomar medidas al respecto, como es el caso del Banco Central Europeo que quiere verificar el nivel de defensa y de recuperación ante ciberataques de las entidades financieras.

Las empresas que operan en un entorno digital deben conocer las medidas preventivas, reactivas y posteriores que se deben tomar ante un ciberataque:

Medidas preventivas: como realización de análisis de vulnerabilidades y auditorías de seguridad. Implica acometer tareas como identificar los activos vulnerables, establecer un plan y protocolo de actuación y recuperación, concienciar y formar al personal en ciberataques, analizar el cumplimiento de la normativa relacionada con ciberataques (nuevo Reglamento Europeo de Protección de Datos Personales, Esquema Nacional de Seguridad, etc.) e implantar medidas técnicas (sistemas de protección de las comunicaciones, mecanismos robustos de autenticación, cifrado y copia de seguridad regular de la información, actualización de los sistemas, etc.).
Medidas reactivas: como determinar valorar el impacto del ataque, activar el protocolo establecido ante un ataque con las notificaciones asociadas, bloquear el ataque aislando los sistemas comprometidos y evitando su propagación, mitigar los efectos del ataque y eliminar la causa que lo permitió y tomar medidas para mantener la continuidad del servicio (equipos de respaldo, recuperación de copias de seguridad, etc.).
Medidas posteriores al ataque como: investigar el incidente, acciones de comunicación y transparencia que mitiguen posibles daños a la imagen corporativa, recuperar de sistemas afectados, etc.

En la realización de estas actividades de prevención y reacción ante ataques es de vital importancia disponer de un Centro de Operaciones de Seguridad (SOC) que actúe como una entidad clave en la gestión de la seguridad, la monitorización de eventos y el diagnóstico, respuesta y recuperación ante ciberataques. El SOC establecerá un servicio de respuesta coordinando a todos los agentes necesarios (especialistas tecnológicos, legales, gestores de crisis, etc.) para responder rápidamente a un ciberataque.

La evolución de la tecnología y los servicios implica la evolución de las ciberamenazas y entre otros se espera el incremento de: ataques sobre servicios en la nube, sistemas virtualizados y sitios web, utilización de una cantidad cada vez mayor de elementos conectados (internet de las cosas) para el robo de información o su utilización en ataques de denegación de servicio, incremento de la complejidad de los ataques de phishing de suplantación de identidad, ocultación de ataques mediante cifrado y evolución de ataques de secuestro de información (ransomware).

La proliferación de seguros contra ciberataques, el incremento de regulaciones sectoriales y gubernamentales respecto a ciberamenazas (incluyendo el ciberataque en el código penal) y las acciones de ciberseguridad que realizan entidades como el Centro Criptológico Nacional no es más que el reflejo de una situación en la que ya no es tiempo para la reflexión sino tiempo para actuar lo más rápidamente posible.

Juan Manzano