Prácticamente cada mañana los periódicos se llenan de noticias sobre hackeos, ya sea a empresas privadas o a organismos públicos. La creciente sofisticación de los ataques y la obsolescencia de las medidas técnicas de defensa, nos hace más vulnerables ante ataques cibernéticos. Es cierto que ningún sistema de seguridad es completamente infranqueable, pero debemos trabajar en la prevención para evitar, en la medida de lo posible, consecuencias nefastas para nuestra organización.
Cuando hablamos de riesgos asociados a los ciberataques, vemos cómo puede afectar a distintos factores de nuestra organización, como factores económicos, reputaciones, competitivos, tecnológicos, regulatorios, políticos, e incluso riesgos asociados a la propiedad industrial e intelectual, ya que por ejemplo está en juego la revelación de secretos industriales. Como podemos observar hay una conectividad directa en el riesgo de sufrir un ciberataque y el impacto en todos los ámbitos de la organización.
Actualmente debido a la proliferación de las tecnologías y a la globalización, las empresas introducen nuevas formas de ofrecer productos o servicios de forma digital y es por ello que a la hora de establecer sistemas de seguridad adaptados a esta nueva forma de negocio debemos tener en cuenta los riesgos emergentes, como por ejemplo, la filtración de información, brechas de seguridad en los datos, las extorsiones o el robo de datos, como decíamos antes la revelación de secretos industriales, manipulación de datos, incluso los posibles daños físicos que puede causar este tipo de ataques etc.
Existe una larga lista de riesgos para la empresa, pero se debe trabajar desde la prevención, teniendo en cuenta algunas consideraciones en la organización.
1.- En primer lugar identificar cuál es tu activo vinculado a datos más valioso, (pueden ser cualquier tipo de datos, ya sean datos de carácter personal o simplemente información confidencial).
2.- Una vez tengamos identificado este activo, tenemos que plantearnos, qué impacto tiene en otros activos.
3.- En tercer lugar, deberemos considerar cuál es el alcance de los riesgos y vulnerabilidad de ese activo, es decir, cómo y cuándo la entidad se encuentra en un momento crítico para ser atacado y la posible motivación del ataque.
4.- Finalmente debemos reflexionar sobre las medidas adoptadas para prevenir esta situación, desde 3 perspectivas distintas:
- Las personas
- Los procedimientos
- la tecnología
A pesar de ello, en muchas ocasiones, por muchas medidas que pongamos, no siempre se puede evitar un ciberataque.
Una vez sufrido el ataque podemos mitigarlo preparando un plan de actuaciones, donde abordaremos la prevención, la identificación, la reacción y la restauración.
Obviamente muchas empresas no tiene el tamaño y los recursos para tener un departamento que pueda dedicarse totalmente a la ciberseguridad, por lo que será necesario contar con colaboradores externos. Por un lado un colaborador que nos preste servicios en protección de datos, y por otro lado otro colaborador que pueda implantarnos o auditarnos las medidas de seguridad.
Como conclusión podemos decir que las auditorias en materia de protección de datos, la elaboración planes de protección de datos, la implantación y adaptación a las nuevas legislaciones no son medidas que deban de realizarse solamente por cumplir con la legislación y las obligaciones impuestas, sino deben realizarse para prevenir y atenuar el impacto de cualquier fuga de información que pueda producirse en la organización.
Eduardo Martínez