Ciberresiliencia, o cómo protegerse de los ataques informáticos modernos
Mientras los datos siguen circulando, los ciberataques no han dejado de aumentar en número y sofisticación en los últimos años, dando lugar a un nuevo concepto: la ciberresiliencia.
Intentos de phishing, malware, ransomware, robo de datos... a medida que se multiplican, las empresas se encuentran con el hecho de que no pueden garantizar al 100% la seguridad de sus sistemas de información. La razón es que las infraestructuras de ciberseguridad (o ciberprotección) desplegadas hasta ahora ya no son suficientes. Ahora tienen que plantearse un enfoque más global y sistémico, para responder eficazmente a las nuevas formas de amenaza que florecen en la red.
Deben convertirse en ciberresilientes.
¿Cuál es exactamente la definición de ciberresiliencia y en qué se diferencia de la ciberseguridad? ¿Qué tipo de acciones implica?
Se lo contamos todo.
Ciberresiliencia: definición
¿Qué es la ciberresiliencia?
La ciberresiliencia se define como un enfoque más holístico de la ciberseguridad. Se basa en dos principios fundamentales
- hacer frente a las amenazas adoptando un enfoque preventivo y no sólo curativo;
- saber cómo restablecer rápidamente la productividad en caso de éxito de un ciberataque.
En resumen, las empresas deben estar preparadas para cualquier eventualidad, aceptando que están constantemente expuestas a los ciberatacantes, que pueden atacar en cualquier momento.
Pero no hay que ser fatalistas. Una ciberempresa resiliente debe desplegar recursos, tanto humanos como tecnológicos, para asegurarse de que puede recuperarse en caso de problema. Y todo ello en el marco de un proceso de mejora continua: ¡la organización ciberresiliente se adapta y aprende de sus errores!
La ciberresiliencia y sus múltiples dimensiones, desde la protección inicial hasta la gestión de la recuperación, deben fundirse con el ADN de la empresa y ser aceptadas y comprendidas por todos los empleados [...]. De hecho, debe formar parte de la cultura corporativa.
Source : ebrc
¿En qué contexto surgió?
Como hemos visto, los riesgos cibernéticos van en aumento.
El 91% de las organizaciones francesas ha sufrido al menos un ciberataque importante en los últimos 12 meses, y la mayoría (65%) ha informado de múltiples incidentes.
Étude de Proofpoint
Estas cifras no son sorprendentes dado el desarrollo de la transformación digital de las empresas y la computación en nube. Y aunque el riesgo se ha vuelto casi sistémico en los últimos años, todo hace pensar que el ciberespacio de mañana no será más seguro:
- la generalización del teletrabajo, que da lugar a numerosas lagunas de protección (conexión a una red doméstica, navegación por sitios web peligrosos, BYOD y prácticas informáticas en la sombra, etc.) ;
- la circulación cada vez mayor de datos digitales, el nuevo "oro negro" del siglo XXI, que plantea una serie de problemas económicos, jurídicos y políticos.
Pero las consecuencias de un ciberataque pueden ser desastrosas para las organizaciones. Según MailinBlack, el coste medio de un ciberataque es de 97.000 euros. A esto hay que añadir los problemas legales asociados a la protección de datos y el impacto negativo en la imagen de marca de la empresa.
Un negocio electrónico resistente es aquel que goza de mejor salud financiera y es más valioso para sus clientes, socios e inversores.
¿Pueden compararse la ciberprotección y la ciberresiliencia?
La ciberprotección, o ciberseguridad, se basa en un principio binario: o el entorno es seguro o no lo es. En consecuencia, los procesos relacionados implican principalmente el despliegue de tecnologías para reducir y resolver los riesgos.
Por lo tanto, a diferencia de la ciberresiliencia, no implican la misma preparación para el riesgo (especialmente a nivel humano), ni la misma capacidad para recuperarse y adaptarse constantemente.
¿Cómo ser ciberresistente? Nuestros 6 consejos
No existe una fórmula preestablecida para ser totalmente ciberresiliente, ya que se trata de un concepto que aún está en desarrollo y que hay que poner a prueba. Además, las mejores prácticas a adoptar dependen de la estructura de cada empresa y de su grado de madurez en materia de digitalización y gestión de la seguridad.
No obstante, se mencionan regularmente varias pistas.
Consejo 1: Ser consciente de la vulnerabilidad del ciberespacio
Para ser ciberresilientes, las empresas deben aceptar que están constantemente expuestas a los peligros cre cientes del ciberespacio. Ya no puede conformarse con utilizar tecnologías de protección.
Además, al tomar conciencia de este estado de cosas, la dirección está más dispuesta a asignar los recursos, tanto humanos como financieros, necesarios para desplegar una infraestructura de seguridad informática realmente eficaz.
💡 La comunicación, los intercambios con los compañeros y la búsqueda de información forman parte del enfoque cibernético resiliente. De este modo, la empresa refuerza su comprensión del tema y, por tanto, la confianza que genera, en particular con los inversores.
Consejo 2: Sensibilizar a los empleados
La sensibilización pasa inevitablemente por campañas de concienciación, dirigidas tanto a la alta dirección como a los empleados. El principal fallo de seguridad suele ser un comportamiento humano inadecuado. Por simple ignorancia, las acciones de un empleado pueden tener consecuencias perjudiciales para la protección informática de la empresa.
Por ello, la comunicación y la formación son esenciales para garantizar que todos los empleados (y no sólo los equipos informáticos) participen activamente en la seguridad de la organización.
Los piratas informáticos son especialmente aficionados al phishing, que es fácil de desplegar. Para ayudar a los empleados a dejar de "picar el anzuelo", Mailinblack ha desarrollado la herramienta Phishing Coach. Esta simula los ataques, evalúa el nivel de vulnerabilidad de los empleados y ofrece contenidos de formación para ayudarles a adoptar los reflejos adecuados.
Consejo 3: Adoptar medidas de seguridad básicas
Hay una serie de medidas básicas que deben observarse, empezando por asegurar el acceso mediante una buena gestión de contraseñas y una sólida política de gestión de identidades y accesos.
Desde el punto de vista técnico, hay que controlar sistemáticamente los ataques, fallos y otros intentos de acceso no autorizado. Esto implica una vigilancia constante de las redes y sistemas informáticos y, por tanto, la aplicación de un proceso de gestión de la seguridad de la información. Para ello, algunos equipos informáticos han adoptado la norma ISO 27001, que se basa en :
- Controles y auditorías internas permanentes,
- la aplicación de acciones correctivas, preventivas y de mejora.
Consejo 4: Céntrese en la conservación de los datos
La ciberresiliencia incluye un enfoque centrado en los datos, porque los datos son un problema muy importante para las empresas. Imagine las consecuencias si un pirata informático accediera a los archivos de sus clientes con el objetivo de vender esta información para campañas de phishing.
Además, con la entrada en vigor del RGPD, las empresas tienen la obligación de proteger los datos personales de los usuarios... si no quieren ser multadas (a veces muy duramente) por la CNIL.
En consecuencia, los equipos informáticos deben hacer de la seguridad de los datos una prioridad absoluta, por ejemplo, utilizando el software adecuado.
Consejo 4: Automatizar los procesos de seguridad
Dado que el error humano sigue siendo el principal factor de riesgo, automatizar las operaciones de seguridad es una buena forma de frenar las amenazas. Además, permite :
- paliar los problemas asociados a la falta de recursos de las empresas ;
- desplegar más fácilmente un procedimiento escalable y permanente.
Se pueden automatizar varios procesos:
- cibervigilancia, para estar al tanto de la evolución de las técnicas de ciberataque,
- detección de ciberamenazas
- respuesta a incidentes
- operaciones de seguridad (ejecución de reglas, por ejemplo), etc.
De 3.655 organizaciones de todo el mundo, el 16% afirmó que la automatización les había ayudado a prevenir un ciberataque, el 23% a detectar un ciberataque, el 15% a responder a un ciberataque y el 25% a contener un ciberataque.un 23% a detectar un ciberataque, un 15% a responder a un ciberataque y un 25% a contener un ciberataque.
Étude de 2019 d'IBM et du Ponemon Institute, sur l'organisation cyber résiliente
💡 Esta automatización es posible gracias a SOAR (Security Orchestration, Automation and Response). Detrás de este acrónimo se esconde una superposición de capas de software compatibles, cuyo objetivo es :
- recopilar todos los datos relacionados con la seguridad ;
- reaccionar en caso de violación de la seguridad, sin necesidad de intervención humana.
Consejo 5: Establezca o refuerce su DRP
Por último, hemos visto que la ciberresiliencia significa recuperarse lo antes posible en caso de problema. Por ello, si su empresa sufre una interrupción como consecuencia de un ciberataque, debe disponer de un Plan de Recuperación de Desastres (o DRP, por sus siglas en inglés). Gracias a este conjunto de procedimientos de gestión de crisis (activación de sistemas de copia de seguridad, restauración de datos, reinicio rápido de aplicaciones, etc.) podrá volver a su productividad inicial.
💡 La DRP suele apoyarse en software para automatizar al máximo los procesos. Una solución como UCover de Nuabee, por ejemplo, ayuda a las empresas, sean cuales sean sus conocimientos informáticos, a gestionar su plan de recuperación ante desastres. Además, ofrece tres clases progresivas de protección, que pueden actualizarse a medida que cambian las organizaciones y sus necesidades.
Por tanto, la ciberresiliencia ha cambiado el paradigma de la seguridad informática. Ahora es la mejor protección para prosperar en un ciberespacio que amplía el campo de posibilidades... al tiempo que somete a las organizaciones a una presión constante en términos de riesgo. Al igual que el mundo actual, es un terreno de juego en el que todo cambia y se acelera constantemente. Hay que saber adaptarse.
¿Está su empresa bien preparada para las nuevas amenazas? Comparta su experiencia en los comentarios ;-)
Artículo traducido del francés