Cómo garantizar la seguridad de la información.

La transformación digital ha pisado el acelerador y ha obligado a las empresas a actuar para proteger sus sistemas de gestión documental. Sin embargo, demasiadas organizaciones han retrasado la inversión en un sistema de seguridad, lo que les hace vulnerables a los ciberataques. Toda la información está ahora automatizada, digitalizada y en línea, lo que aporta ventajas de velocidad y coste, pero introduce una gran cantidad de potenciales vulnerabilidades. Afortunadamente, el establecimiento de un sistema eficiente de gestión de la seguridad de la información (SGSI) contribuirá en gran medida a mitigar estos peligros.

Ciber riesgos.

El principal problema en la era de la transformación digital es la protección de datos, especialmente contra los ciberdelincuentes. El gigante de las telecomunicaciones Verizon realizó una investigación sobre los mayores peligros de seguridad a los que se enfrentan las empresas y concluyó que el 40% de estas habían sufrido ataques que habrían generado brechas de datos, y que otro 30% habían sido víctimas de ataques malware. No hay ejemplo que ilustre mejor esta situación que el ciberataque contra Maersk, la compañía de transporte marítimo de mercancías más grande del mundo, en el puerto de Los Ángeles. Con los ordenadores y los servidores apagados, los trabajadores se vieron obligados a improvisar usando Twitter, Whats-App e incluso, Post-It. El ataque ransomware Petya le costó a Maersk 300 millones de dólares e interrumpió las operaciones durante dos semanas, demostrando que ni las empresas internaciones, están exentas de sufrir ciberataques.

La tecnología es una maquinaria que nunca se detiene y, por desgracia, esto también es aplicable a los ciberdelincuentes. Esto se traduce en que las empresas nunca pueden dormirse en los laureles y deben garantizar que disponen de las herramientas y sistemas más avanzados para mantener sus datos seguros en todo momento, sin importar las amenazas que vayan surgiendo.

Un sólido y bien diseñado sistema de gestión de la seguridad de la información (SGSI) aumentará la capacidad de una empresa de enfrentarse a ciberataques. No obstante, este proceso lleva tiempo y dedicación, no se trata solamente de conectar los sistemas de seguridad, sino que la creación del SGSI correcto requiere de mucha reflexión antes de seleccionar las tecnologías más relevantes, así como el marco general de políticas. Las compañías necesitan hacer una evaluación de riesgos que identifique las vulnerabilidades clave y luego evaluar su situación económica para determinar cuál es su presupuesto. Tendrán que decidir si el personal tiene las capacidades técnicas, o si necesitan contratar a nuevos profesionales, y luego establecer objetivos a corto y largo plazo. Los riesgos de seguridad cambian rápidamente y los sistemas de gestión de la seguridad de la información tienen que evolucionar para hacer frente a las nuevas amenazas. Las empresas pueden guiar su análisis de riesgos con las múltiples normas disponibles, como el COBIT, el ISO/IEC 27000, que son estándares de seguridad publicados por la Organización Internacional para la Estandarización, y la serie 800 del Instituto Nacional de Normas y Tecnología de los Estados Unidos (NIST).

Identifica el punto débil del negocio.

Un sistema de gestion de la seguridad de la información eficiente tendrá que tener en cuenta que la mayoría de los incidentes de seguridad son causados por la falta de conocimiento de las víctimas, las cuáles caen en las trampas de la ciberdelincuencia. Un ejemplo claro de ello fue el ataque que sufrió Equifax, esta firma estadounidense de información sobre solvencia crediticia, confesó haber sido victima de un ciberataque cuyo resultado fue la filtración de los datos de más de 147 millones de clientes. El director general de la empresa atribuyó el fallo a un error humano.

Está claro que la tecnología es necesaria para reducir en todo lo posible los errores humanos, aunque esta casi nunca puede ser completamente eliminada. Nadie quiere tener que prescindir del personal cuando la empresa es víctima de una campaña de phishing o de ataques de ingeniería social, por ello son esenciales los programas de formación en ciberseguridad para explicar a los empleados cómo los errores, por pequeños que sean, pueden tener consecuencias catastróficas.

Sistema de gestión de información de seguridad (SIM).

Otra cuestión importante en la configuración de un sistema de seguridad de la información es determinar cómo clasificar todos los datos que llegan de los dispositivos de seguridad, como los firewalls, los servidores proxy, los sistemas de detección de intrusos y antivirus. El equipo IT puede sentirse abrumado porque la instalación de un mejor sistema aumentará la cantidad de alertas de seguridad en lugar de reducirlas. Por ello, las empresas deben considerar la posibilidad de instalar una tecnología SIM (gestión de la información de seguridad) que registre y clasifique los datos recogidos por otros programas informáticos.

Las organizaciones más grandes comenzaron a utilizar los sistemas SIM hace una década, pero el mercado ha crecido y ahora son parte integral de la seguridad de muchas pequeñas y medianas empresas. En lugar de que los equipos de seguridad del departamento IT clasifiquen manualmente enormes cantidades de datos, los sistemas de seguridad de la información automatizan este proceso, pudiendo traducir las alertas de Cisco, Microsoft o CheckPoint a un idioma común. Muchas suites SIM incluyen múltiples aplicaciones para abordar diferentes problemas.

A la hora de decidir qué sistema SIM adquirir, las empresas deben tener en cuenta si este tiene las capacidades necesarias para hacer frente al riesgo al que se enfrentan. Este sistema necesita ser ágil, ya que registraría la información de cientos, o incluso miles, de dispositivos en tiempo real. Necesita hacer frente a lo que Symantec denomina "amenazas combinadas", las cuáles podrían combinar las características de virus, troyanos y códigos maliciosos. Algunas empresas querrán que los sistemas SIM tengan una capacidad de respuesta activa, es decir, que tomen medidas inmediatas basadas en los datos. Esta opción siempre necesita una instalación cuidadosa para evitar apagones innecesarios de los servidores y bloqueos de tráfico si el personal comete algún error. Los sistemas SIM requieren una integración compleja y puede haber retrasos hasta que cada departamento tenga los accesos adecuados, por ello hay que tener cuidado al negociar políticas entre departamentos.

El proceso no finaliza cuando el sistema es diseñado e instalado. La organización, además, necesita establecer KPIs para monitorear su efectividad, y luego revisar por qué se han incumplido los más importantes. Los ciberdelincuentes explotan continuamente las nuevas tecnologías y vulnerabilidades, y será esencial estar en constante alerta con nuevas herramientas, sistemas y procedimientos para contrarrestar sus ataques. Afortunadamente, las compañías tecnológicas se están moviendo tan rápido como los criminales, asegurando que todas las herramientas están disponibles para garantizar un sistema fuerte y seguro.