Seguridad

A medida que el panorama de las amenazas se vuelve más complejo, contar con un equipo de seguridad capacitado y tecnologías adecuadas es esencial.

Crear y mantener una cultura de seguridad cibernética en toda la organización es otro componente vital para administrar el riesgo organizacional de manera efectiva. La ciberseguridad es trabajo de todos, y cada individuo dentro de la organización es responsable de mantener la seguridad del negocio.

Las investigaciones indican que el elemento humano aún constituye la mayoría de los incidentes y es un factor en el 74% de las brechas de seguridad.

El personal puede ser una de las mejores defensas contra el ciberdelito, pero eso solo es posible si conoce y sabe cómo identificar los métodos que utilizan los atacantes.

Debido a que algunos de los ciberataques más comunes (como esquemas de phishing y ataques de contraseñas) se dirigen directamente a los usuarios, la falta de conocimiento puede llegar a debilitar su postura de ciberseguridad.

Si bien la concientización de los empleados no reemplaza a un equipo de profesionales calificados, una fuerza laboral capacitada puede ser un gran socio para su equipo de seguridad al ser los ojos y los oídos, por así decirlo, en primera línea.

La importancia de la formación continua en ciberseguridad

Todos los empleados deben tener una comprensión fundamental de seguridad cibernética y el panorama de amenazas. Aquellos que reciben capacitación en ciberseguridad demuestran una mayor habilidad para reconocer las amenazas potenciales.

La revisión de los programas existentes de capacitación y concientización sobre ciberseguridad podría ofrecer a la organización nuevas oportunidades para abordar el elemento humano de manera más efectiva. Es imprescindible cubrir los conceptos básicos, como phishing, ransomware, uso de redes sociales e Ingeniería Social, entre otros. La creación de un programa de capacitación de concientización sobre seguridad interna o la búsqueda de la ayuda de proveedores confiables son dos formas comunes de abordar esto.

La tecnología importa, pero las personas son primordiales

Las tecnologías adecuadas, profesionales de seguridad capacitados, procesos claros y bien definidos son componentes esenciales de un programa de gestión de riesgos eficaz. Sin embargo, educar a la fuerza laboral sobre los signos de un posible ataque cibernético y ofrecerles orientación sobre qué hacer si sospechan que son el objetivo de uno, es uno de los pasos más importantes que se puede tomar para proteger a sus organizaciones.

Fuente https://www.forbes.com/sites/forbestechcouncil/2023/07/25/why-employees-are-a-crucial-part-of-your-cybersecurity-strategy/

Es vital comprender con claridad las amenazas y los errores más comunes en ciberseguridad que ponen en riesgo a las empresas. Abordar estos errores y aprender a evitarlos puede ser una estrategia efectiva para proteger y garantizar la continuidad de los negocios a largo plazo:

1. Derechos de acceso mal administrados, es esencial para la seguridad de cualquier empresa una adecuada administración de derechos de acceso para los colaboradores. Al limitar los derechos de acceso solo a lo que es necesario para cada empleado, se pueden reducir una gran cantidad de errores, riesgos y ataques cibernéticos.

2. Contraseñas débiles, con números consecutivos o palabras obvias son una llave para los ciberdelincuentes, que en algunos casos utilizan herramientas automatizadas para probar miles de contraseñas diferentes en minutos.

3. Carencia de autentificación de dos factores, la autenticación de dos factores es una herramienta clave que ayuda significativamente a proteger las cuentas de trabajo contra ataques de phishing y distintos métodos de robo de contraseñas. Con esto, los empleados deben ingresar una primera contraseña y una segunda forma de autenticación, que puede ser un código único enviado al teléfono celular, la huella dactilar autorizada o alguna otra.

4. Uso de dispositivos no seguros, en muchas empresas la modalidad de trabajo remota o híbrida representa una gran ventaja para los colaboradores, pero al mismo tiempo puede ser una amenaza al comprometer la seguridad con el uso de dispositivos personales que no siempre tienen el mismo nivel de seguridad que los dispositivos autorizados. Muchas veces los empleados pueden tener software que no es original o no está actualizado, contraseñas débiles o pueden instalar programas y aplicaciones no confiables que ponen en riesgo la información de la organización.

5. Falta de educación en ciberseguridad, es un hecho que los colaboradores son una línea de defensa clave contra los ciberataques, si no están familiarizados con términos como ransomware, malware, phishing y otras amenazas, es mucho más probable que caigan en trampas y engaños, lo que compromete la seguridad corporativa. Por lo tanto, es importante que las empresas den a sus empleados capacitaciones básicas en ciberseguridad empresarial y de esta manera, tengan mayor conciencia del riesgo para reconocer y evitar fácilmente las amenazas en línea.

6. Alertas dispersas y falsas alarmas, todavía es común que algunas empresas a lo largo de los años adopten múltiples herramientas de ciberseguridad para protegerse contra las amenazas cibernéticas, pero esto puede generar una sobrecarga de información derivado de las múltiples soluciones que no siempre tienen la capacidad de integrarse entre sí, generando alertas falsas y dispersas que complican la vida a los encargados de la ciberseguridad.

7. Abrir correos desconocidos (phishing), cuando el remitente no es conocido, es mejor no abrir el correo, no dar clic en el enlace y hacer caso omiso aunque parezca super atractivo e inocuo, los ciberdelincuentes son capaces de imitar sitios web completos. Incluso tratándose de un enlace bancario debe provenir de un ejecutivo de sucursal conocido con nombre y apellido, si es un cliente, igualmente, si es un proveedor debe ser una persona que se ha presentado previamente para evitar al 100% abrir correos infectados con malware. El phishing  es la práctica más común para secuestrar información clave.

En conclusión, resulta vital que las empresas implementen estrategias de ciberseguridad sólidas y eduquen a sus colaboradores sobre amenazas de seguridad informática, para minimizar los riesgos y asegurar la continuidad del negocio. Al poner atención en estos aspectos, las empresas podrán estar más tranquilas y seguras de que están en un buen camino hacia el éxito a largo plazo y la protección de sus datos críticos.

Fuente https://computerworldmexico.com.mx/los-7-errores-mas-comunes-en-ciberseguridad-empresarial/

Proofpoint, empresa especializada en ciberseguridad y cumplimiento, publicó su informe anual Voice of the CISO con los hallazgos de las encuestas realizadas a más de 1,600 CISO (director de seguridad de la información o seguridad digital) en organizaciones de diferentes industrias en 16 países.

Algunos de los hallazgos clave del informe:

• Los CISO nuevamente tienen preocupaciones por falta de preparación como lo que experimentaron al principio de la pandemia:  el 61% cree que su organización no está preparada para hacer frente a un ataque cibernético dirigido, en comparación con el 50% el año pasado y el 66% en 2021.

• La pérdida de datos confidenciales se incrementa debido a la rotación de empleados: el 63% informaron haber enfrentado una pérdida importante de datos confidenciales en los últimos 12 meses, de los cuales, el 82% indicó que los empleados que abandonaron la organización contribuyeron a tal pérdida. A pesar de esas pérdidas, el 60% de los CISO creen que cuentan con los controles adecuados para proteger sus datos.

• El fraude por correo electrónico encabeza la lista de las amenazas más importantes, pasó del cuarto lugar al primer lugar, seguido de cerca por amenazas internas, la Nube y ataques DDoS.

• Es probable que la mayoría de las organizaciones paguen un rescate si se ven afectadas por ransomware: el 62% de los CISO cree que su organización pagaría para restaurar los sistemas y evitar la publicación de sus datos.

• El riesgo en la cadena de suministro es una prioridad recurrente: el 64% dicen contar con controles adecuados para mitigar el riesgo de la cadena de suministro, un ligero aumento con respecto al 59% del año pasado. Si bien estas protecciones pueden sentirse adecuadas por ahora, en el futuro podrían verse limitados por los recursos: el 58% dice que la economía inestable ha impactado negativamente su presupuesto de seguridad cibernética.

• El riesgo por error humano sigue siendo una preocupación importante, hay un ligero aumento en la cantidad de CISO que lo ven como la mayor vulnerabilidad cibernética de su organización: 60% en la encuesta de este año frente al 56% en 2022 y 58% en 2021.

• Los CISO y las juntas directivas se encuentran en mayor sintonía: el 62% indica que los miembros de su junta están de acuerdo con ellos en temas de seguridad cibernética.

• Sienten mayor presión: el 61% de los CISO sienten que enfrentan expectativas de trabajo poco razonables, un aumento significativo con respecto al 49% del año pasado.

Para descargar el informe Voice of the CISO de 2023, visite:  https://www.proofpoint.com/us/resources/white-papers/voice-of-the-ciso-report

Latinoamérica y el Caribe sufrieron más de 360 mil millones de intentos de ciberataques en 2022, según datos de FortiGuard Labs, el laboratorio de análisis e inteligencia de amenazas de Fortinet. México recibió la mayor cantidad de intentos de ataques (187 mil millones), seguido de Brasil (103 mil millones), Colombia (20 mil millones) y Perú (15 mil millones).

A continuación los aspectos destacados del reporte del segundo semestre de 2022:

• La distribución masiva del malware wiper continúa mostrando la evolución destructiva de los ciberataques.
• La amenaza de ransomware permanece en niveles máximos sin evidencia de desaceleración, con nuevas variantes habilitadas por Ransomware-as-a-Service (RaaS).
• El malware más frecuente tenía más de un año, lo que destaca la eficacia y la economía de reutilizar y reciclar el código.
• Log4j sigue afectando a organizaciones de todas las regiones e industrias, sobre todo en sectores como tecnología, gobierno y educación.

Wiper se propaga ampliamente en 2022

Los cibercriminales pueden escalar fácilmente este tipo de ataques que han sido habilitados en gran medida por el modelo Cybercrime-as-a-Service (CaaS). A principios de 2022, FortiGuard Labs informó de la presencia de varios wiper relacionados con la guerra entre Rusia y Ucrania. Más adelante se expandió a otros países, lo que impulsó un aumento del 53% en la actividad solo del tercer al cuarto trimestre. Desafortunadamente, la trayectoria del malware no parece estar desacelerándose, lo que significa que cualquier organización sigue siendo un objetivo potencial.

El ciberdelito con motivos financieros se mantiene en niveles máximos

Los reportes de Respuesta a Incidentes (IR) de FortiGuard Labs encontraron que los ciberdelitos motivados financieramente resultaron con el mayor volumen de incidentes (73.9%) y con un distante segundo lugar el atribuido al espionaje (13%). En todo 2022, el 82% de los ciberdelitos motivados financieramente involucraron el uso de ransomware o scripts maliciosos, lo que demuestra que la amenaza global de ransomware sigue vigente sin evidencia de desaceleración gracias a la creciente popularidad de Ransomware-as-a-Service (RaaS) en la dark web. De hecho, el volumen de ransomware aumentó un 16% desde la primera mitad de 2022.

Reutilización de código

Los ciberatacantes buscan maximizar las inversiones y el conocimiento existentes para que sus esfuerzos sean más efectivos y rentables. La reutilización de código es una forma eficiente y lucrativa donde los delincuentes se basan en resultados exitosos y realizan cambios iterativos para afinar sus ataques y superar los obstáculos defensivos. Los cibercriminales no solo automatizan las amenazas, sino que actualizan activamente el código para hacerlas aún más efectivas.

Log4j sigue generalizado y en fuerte uso por los ciberdelincuentes

Aun con toda la publicidad que recibió Log4j en 2021 y a principios de 2022, un número significativo de organizaciones no han aplicado los controles de seguridad adecuados para protegerse contra una de las vulnerabilidades más notables de la historia. En la segunda mitad de 2022, Log4j todavía estaba muy activo en todas las regiones.

Cambiar para enfrentar el panorama de amenazas

Fortinet es el líder en ciberseguridad e innovación en redes que ayuda a romper la cadena de ataques, minimizar el impacto de los incidentes de seguridad y prepararse mejor para posibles ciberamenazas. Sus soluciones de seguridad incluyen una variedad de herramientas poderosas como firewalls de próxima generación (NGFW), telemetría y análisis de red, detección y respuesta de endpoint (EDR), detección y respuesta extendida (XDR), protección de riesgo digital (DRP), información de seguridad y gestión de eventos (SIEM), sandboxing en línea, orquestación de seguridad, automatización y respuesta (SOAR) y más. Estas soluciones brindan capacidades avanzadas de detección y prevención de amenazas que pueden ayudar a las organizaciones a detectar y responder rápidamente a los incidentes de seguridad en toda su superficie de ataque.

Para complementar estas soluciones y apoyar a los equipos con poco personal, Fortinet también ofrece servicios de respuesta e inteligencia de amenazas habilitados con aprendizaje automático. Éstos proporcionan información actualizada sobre las ciberamenazas más recientes y permiten a las empresas responder rápidamente a los incidentes de seguridad. Este conjunto integral de soluciones y servicios de ciberseguridad permite que los CISO y los equipos de seguridad se centren en habilitar el negocio y en proyectos de mayor prioridad.

En Adaptix Networks también destacamos la importancia de implementar soluciones de seguridad integrales para disminuir de manera importante el riesgo de sufrir algún ataque. Le invitamos a ponerse en contacto con nosotros para proveerle más información respecto a la implementación de nuestras soluciones Fortinet, así como los casos de éxito con nuestros clientes.

Fuente https://www.fortinet.com/lat/corporate/about-us/newsroom/press-releases/2023/fortiguard-labs-reports-destructive-wiper-malware-increases-over-50-percent?utm_source=social&utm_medium=twitter-org&utm_campaign=sprinklr

En información recientemente publicada por Kaspersky Lab se destaca que si bien el entendimiento entre directivos y especialistas en ciberseguridad está creciendo en general, aún existen problemas.

• El 98% de los representantes empresariales encuestados experimentaron algún tipo de malentendido con el servicio de seguridad TI, como consecuencia directa se habría provocado al menos un incidente de seguridad en el 62% de los casos. El 61% informó de impactos negativos en la empresa, incluidas las pérdidas, el abandono de empleados clave o un deterioro de la comunicación entre departamentos.
• Al 42% de los líderes empresariales les gustaría que los especialistas en seguridad se comunicaran con más claridad, y el 76% de estos especialistas está seguro de que todos los entienden perfectamente.

Con frecuencia hay problemas con el lenguaje utilizado: los directivos no suelen entender todos los tecnicismos que usan los servicios de seguridad TI. Pero la terminología no es el único problema y tampoco es el problema principal.

Diferente concepción del riesgo

La mayoría de los especialistas en ciberseguridad tienen un umbral de tolerancia al riesgo muy bajo. Pero en los negocios, ocurre lo contrario: sin riesgo, no hay beneficio, por lo que los directivos a menudo están dispuestos a asumir mayores riesgos. Para el jefe, el objetivo principal es encontrar el equilibrio ideal entre las ganancias y las pérdidas potenciales. El verdadero objetivo del departamento de seguridad, por extraño que parezca, no es eliminar todas las amenazas, sino ayudar a la empresa a ganar tanto como sea posible.

Desde el punto de vista empresarial, los riesgos pueden aceptarse, evitarse, reducirse o transferirse (por ejemplo, a las aseguradoras). Los directivos intentarán tomar los máximos riesgos posibles para aumentar las ganancias. Para ellos, la seguridad de la información es solo una pequeña parte de la imagen, de hecho, probablemente ni siquiera quieran pensar en ello.

Por lo tanto, los especialistas en TI no deben pensar en cómo cerrar todas las brechas, sino en cómo identificar y neutralizar aquellas amenazas que realmente puedan causar daños graves a la empresa. En consecuencia, también deberían pensar en cómo explicar a los directivos por qué vale la pena gastar dinero en resolver algo.

Miedo, incertidumbre y duda, no funcionan

Tratar de persuadir a los directivos usando tácticas de miedo, incertidumbre y duda (FUD por sus siglas en inglés) no va a funcionar, ya que la empresa no paga para que los asusten. Los especialistas están para resolver problemas y, mejor aún, para que nadie se dé cuenta de que hay alguno.

Otro problema con el uso del concepto FUD es que los directivos ya andan bastante estresados por el hecho de que cualquier error podría ser el último; por ejemplo, hay muchas personas alrededor que aprovecharían la oportunidad para ocupar su lugar, por lo que no pueden confiar en cualquiera.

A ningún jefe le gusta demostrar que no sabe de algo. Por tanto, cualquier intento de bombardear a la dirección con términos que desconocen está condenado al fracaso.

Pensar como empresa

El objetivo principal de cualquier empresa comercial es ganar dinero, por lo que los directivos ven todo desde este punto de vista. Por lo tanto, si un especialista en ciberseguridad les dice: “ha aparecido una amenaza y necesitamos invertir X cantidad de los fondos para neutralizarla”, lo que escucha es “si nos arriesgamos y no hacemos nada, ahorraremos X cantidad de dinero”. Suena extraño, pero así es exactamente cómo piensan las empresas.

Por lo tanto, la situación debe presentarse de forma diferente: “Existe una amenaza con una probabilidad del Z % de causar un daño Y al negocio. Necesitamos gastar X para neutralizarlo”. Esta es una ecuación que tiene sentido en la mentalidad empresarial.

Por supuesto, no siempre es posible predecir de forma realista el costo del daño potencial, por lo que se pueden usar valores conocidos como el tiempo de inactividad (durante el cual se atenderían las consecuencias del incidente), la cantidad y el tipo de datos que podrían perderse o comprometerse, las pérdidas de reputación, etc. Después, la empresa podrá convertir esta información en números comprensibles, con la ayuda de especialistas o si es posible, el equipo de seguridad TI por sí mismo.

Siempre existe la posibilidad de que la ecuación no funcione a favor de la seguridad de la información. Esto no siempre es un problema de falta de comunicación; puede que la directiva escuche y entienda todo perfectamente, pero sea más rentable correr el riesgo.

La clave aquí es tener una buena comprensión de la posición del servicio de seguridad TI dentro de la empresa y las ganancias que genera. Esto permitirá evaluar y clasificar mejor las posibles amenazas para evitar la pérdida de tiempo en iniciativas que claramente no llegarán a ningún lado. En general, trabajar de forma más eficiente.

Factor tiempo

Para la seguridad, el factor tiempo es crucial: algunas amenazas deben protegerse de inmediato. Pero el tiempo también es importante para las empresas, donde el tiempo es dinero.

Incluso aunque la directiva comprenda el problema y sepa que debe resolverse, no se apresurarán a gastar dinero a menos que se les dé una fecha límite clara y bien argumentada. También deben saber que, una vez vencido el plazo, automáticamente deben asumir la responsabilidad por el riesgo en específico, ya que entonces la seguridad de la información solo puede limpiar las consecuencias.

Este plazo debe ser lo más realista posible. Si la seguridad de la información siempre exige que se tome una decisión “para ayer”, la directiva dejará de escuchar y los tratará como el niño del cuento del lobo. Y si siempre dice “bueno, tienes un año para pensártelo”, los despedirán después del próximo incidente (o inmediatamente). Es importante poder evaluar y establecer el plazo real y resaltar los riesgos potenciales.

Vale la pena señalar que muy pocas empresas guardan dinero de reserva en sus cuentas, esperando que el director de seguridad de la información venga y les diga dónde gastarlo lo antes posible. Los fondos para resolver problemas tendrán que tomarse de alguna parte, y esto puede llevar un tiempo. Por cierto, para entender este tiempo, también es importante saber cómo funciona y se financia una empresa.

Marketing

Para comunicar correctamente, los especialistas en ciberseguridad deben tener algunas habilidades de marketing; así podrán vender sus soluciones a los jefes.

• Ofrecer una solución, no un problema. Obviamente, no se puede vender un problema.
• Siempre que sea posible, apoyarse en precedentes reales y fácilmente comprobables. A los directivos les encantan: reducen la incertidumbre.
• En lugar de términos técnicos, utilizar un lenguaje atractivo de ventas y diapositivas con gráficos coloridos.
• Ofrecer varias opciones, incluidas las que son claramente inviables.
• Poner toda la oferta en una única página: nadie leerá más que eso.
• Utilizar sinónimos para la expresión “seguridad de la información”: reducción de riesgos, garantía de la resistencia/continuidad de los procesos de trabajo, mantenimiento de la eficiencia operativa, reducción del tiempo de inactividad, prevención de daños, etc.
• Utilizar el mínimo lenguaje emocional posible y mantener un estilo de comunicación profesional y empresarial.

Finalmente, las habilidades blandas son la clave para una comunicación comercial de éxito. Para ello, se debe salir de la burbuja especializada y aprender a hablar con los directivos usando el idioma y contextos de su preferencia. Aunque quieran, no pueden profundizar en todos los detalles técnicos de cada departamento de la empresa. En cuanto al servicio de seguridad TI, es importante reconocer que es solo una parte de la empresa, por lo que se debe ayudar a obtener los máximos ingresos con el coste mínimo.

Fuente https://www.kaspersky.es/blog/business-soc-communications/28370/

1. Formación en ciberseguridad para los empeados

Existen diferentes requisitos de conocimiento para cada nivel. Todos, incluidos los empleados de primera línea, deben asimilar las reglas de ciberseguridad, además de los consejos sobre cómo responder a situaciones sospechosas o fueras de lo común.

Los directivos, se benefician de una información ampliada sobre cómo se integra la seguridad en el desarrollo de producto y en el ciclo de vida de uso, qué políticas de seguridad adoptar en sus departamentos y cómo puede afectar al rendimiento empresarial.

Por su parte, los empleados de seguridad de la información deberían estudiar los procesos empresariales en la compañía para hacerse una mejor idea sobre cómo integrar los mecanismos de protección de la forma menos agresiva posible.

2. Integrar ciberseguridad en la estrategia y procesos de la compañía

A medida que la economía se digitaliza, la gestión de los riesgos cibernéticos se está convirtiendo en una tarea completa a nivel directivo. Hay toda una serie de aspectos tecnológicos, humanos, financieros, legales y organizacionales al respecto, por lo que los líderes de todas las áreas deben estar involucrados en la adaptación de la estrategia y procesos de la compañía.

• ¿Cómo podemos minimizar los riesgos en el caso de que un proveedor o contratista reciba un ataque, dado que podríamos convertirnos en un objetivo secundario?
• ¿Qué leyes regulan la industria del almacenamiento y la trasferencia de datos sensibles como la información personal de los clientes?
• ¿Cuál sería el impacto de un ataque de ransomware y cuánto tiempo llevaría la restauración de las copias de seguridad?
• ¿Pueden los daños reputacionales medirse en dinero cuando el público y los socios se han enterado del ataque recibido?
• ¿Qué medidas de seguridad adicionales se pueden tomar para proteger a los empleados en remoto?

Estas son las cuestiones que deben abordar los servicios de seguridad de la información y los expertos de otros departamentos, apoyándose en medidas organizativas y técnicas.

Es importante recordar a la directiva que “comprar tal sistema de protección” no es una solución milagrosa para cualquier problema. Según las estimaciones, entre el 46 y el 77 % de todos los incidentes están relacionados con el factor humano: desde el incumplimiento de las regulaciones y los intrusos maliciosos, hasta la falta de transparencia TI por parte de los contratistas.

A pesar de todo, los problemas de la seguridad de la información siempre giran en torno al presupuesto.

3. Invertir correctamente

La inversión en seguridad de la información siempre se queda corta, mientras que los problemas por resolver parecen infinitos. Es importante priorizar en consecuencia con los requerimientos de la industria en cuestión y con las amenazas más relevantes que puedan causar más daño a la organización. Esto es posible prácticamente en todas las áreas, desde el cierre de vulnerabilidades hasta la formación del personal. No se puede ignorar ninguna, cada una tendrá su prioridad. Trabajando dentro del presupuesto asignado, empezar con los riesgos principales para después continuar con los menos probables.

Evidentemente, las cosas se ponen más interesantes cuando hay que elevar el presupuesto. Una estrategia madura para la elaboración del presupuesto es aquella basada en los riesgos y el costo respectivo de su actualización y minimización, pero también es más laboriosa. Los ejemplos reales juegan un papel importante en reuniones de las juntas directivas. Dicho esto, no son fáciles de encontrar, por lo que es común recurrir a puntos de referencia que brinden presupuestos promedio para un sector comercial y país en particular.

4. Considerar todos los tipos de riesgo

Los debates sobre la seguridad de la información se suelen centrar en los ciberdelincuentes y las soluciones de software para combatirlos. Pero las operaciones diarias de muchas organizaciones se enfrentan a otros riesgos que también están relacionados con la seguridad de la información.

Sin duda alguna, uno de los riesgos más relevantes en los últimos años ha sido el de la violación de normas en el almacenamiento y uso de datos personales, como el RGPD, CCPA, etc. Una perspectiva aún más alarmante que se avecina para las empresas es la imposición de multas basándose en el volumen de filtraciones o gestión inadecuada de datos personales, por lo que una auditoría integral de los sistemas y procesos de información con el objetivo de eliminar paso a paso estas violaciones sería de lo más oportuna.

Varias industrias tienen sus propios criterios, incluso más estrictos, en concreto los sectores financiero, sanitario y de telecomunicaciones, así como los operadores de infraestructura crítica. Debe ser una tarea supervisada regularmente por los gerentes de área para mejorar el cumplimiento de los requisitos normativos en sus departamentos.

5. Responder correctamente

Lamentablemente, los incidentes de ciberseguridad son prácticamente inevitables. Si la escala de un ataque es lo suficientemente grande como para atraer la atención de la sala de juntas, lo más seguro es que haya supuesto una interrupción de las operaciones o una filtración de datos importantes.

Como mínimo, la alta directiva debe conocer y seguir los procedimientos de respuesta para no reducir las posibilidades de un resultado favorable. Estos son los tres pasos fundamentales que debe seguir el CEO:

5.1 Notificar de inmediato a las partes clave sobre el incidente: departamentos financieros y legales, aseguradoras, reguladores de la industria, reguladores de protección de datos, fuerzas policiales, clientes afectados. En muchos casos, el plazo para dicha notificación está establecido por la ley, pero si no, debe establecerse en el reglamento interno. El sentido común dicta que la notificación sea rápida pero informativa; es decir, antes de notificar se debe recabar información sobre la naturaleza del incidente, incluyendo una evaluación inicial de la escala y las medidas de primera respuesta tomadas.

5.2 Investigar el incidente. Es importante tomar diversas medidas para poder evaluar correctamente la escala y las ramificaciones del ataque. Además de las medidas puramente técnicas, realizar encuestas a los empleados también puede aportar relevancia, por ejemplo. Durante la investigación, es de vital importancia no dañar las pruebas digitales del ataque. En muchos casos, tiene sentido traer expertos externos para investigar el incidente.

5.3 Elaborar un programa de comunicaciones. Un error típico que cometen las empresas es tratar de ocultar o restar importancia a un incidente. Tarde o temprano, la verdadera escala del problema saldrá a la luz, prolongando y ampliando los daños, desde la reputación hasta el financiero. Por lo tanto, las comunicaciones deben ser periódicas y sistemáticas, entregando información consistente y de uso práctico para clientes y empleados. Deben informar claramente sobre qué acciones se tomarán y qué se esperará en el futuro.

Comunicar los asuntos de seguridad de la información a la alta directiva es una tarea que requiere mucho tiempo y no siempre es gratificante, por lo que es poco probable que estos cinco mensajes se transmitan y se tomen en serio en solo una o dos reuniones. La interacción entre la empresa y la seguridad de la información es un proceso continuo que requiere un esfuerzo mutuo para entenderse mejor.

Fuente https://www.kaspersky.es/blog/5-cybersecurity-lessons-ceo/28364/