En un reciente webinar sobre Seguridad Informática, Carlos Said, gerente de Tecnología de Druidics, difundió algunos datos que dan una idea del panorama reinante. En los últimos doce meses, el 91% de las empresas dice haber tenido al menos un incidente de seguridad externo, y el 85% informa acerca de incidentes internos. Según Said, este fenómeno se debe en gran parte a los cambios que el contexto empresarial ha sufrido en cuanto a la administración de los datos.
Vulnerables
Algunas de las principales transformaciones en el contexto empresarial, que facilitan el trabajo de los cibercriminales, son:
- Exposición de datos: la exposición continua y constante de la información digital se ve facilitada por la presencia de las aplicaciones que acceden a los datos desde sitios externos a la organización.
- Consumo masivo de las tecnologías de la información.
- Innovación: las organizaciones continúan adoptando nuevas plataformas tecnológicas, incluyendo la nube (cloud), virtualización, aplicaciones y tecnologías móviles, entre otras.
- Ataques más sofisticados: el volumen y la complejidad de los ataques aumentó, las amenazas persistentes han derivado hacia ataques específicos por industria.
En su noveno informe anual sobre lo que les cuesta a las compañías la brechas de seguridad (que abarcó más de 300 compañías en diez países), Ponemon Institute e IBM indicaron que el promedio del costo total de la brecha de datos aumentó un 15% el año pasado, ubicándose en US$ 3,5 millones. El estudio también indica que el costo que deviene de cada registro robado o perdido que contiene información sensible o confidencial aumentó más del 9%, ubicándose en promedio en los US$ 145 (antes US$ 136).
“Claramente, los ataques maliciosos internos y criminales son una preocupación creciente para el negocio, especialmente cuando consideramos cuñan persistente se ha vuelto la información en la era de la nube y la movilidad —dijo Kris Lovejoy, gerente general de la división de Servicios de Seguridad de IBM—. Una brecha en (la seguridad de) los datos puede resultar en un daño enorme al negocio que va más allá de lo financiero. Lo que hay en juego es la lealtad de los clientes y la reputación de la marca”.
Said cita estadísticas del Brasil, incluidas en el informe. El costo total asociado a la pérdida de un registro de datos aumentó en el último año (2013 a 2014) aproximadamente un 35%, escalando de US$ 52 a US$ 70 (116 a 157 R$). Las tres principales razones son: datos perdidos por errores de terceros, por fallos o mal uso; datos obtenidos de dispositivos perdidos o robados (móviles y tablets); y un responsable de seguridad informática excedido de tareas como para abarcarlas correctamente», explica Said.
¿QUÉ HACER FRENTE A ESTA SITUACIÓN?
A diario se gestan nuevas tendencias de hacking. En la primera mitad de 2013 el 31% de los nuevos ataques fueron dirigidos a aplicaciones móviles y un 50% a aplicaciones web. Los dispositivos móviles son doblemente atractivos para los hackers, ya que pueden obtener datos de carácter personal y de negocios, por lo que la detección de malware es seis veces más frecuente que en 2011.
El estado de vulnerabilidad de las organizaciones se hace más patente si se tiene en cuenta que sólo el 38% de las consultadas tenían una estrategia de seguridad para proteger la infraestructura de TI. El porcentaje era mayor (45%) cuando se les consultaba sobre una estrategia para proteger sus activos de información. Para Said, algunas de las dimensiones a tener en cuenta (y que conforman lo que llama las “bases de una estructura de seguridad”) incluyen:
- Recolección y correlación de eventos generados por dispositivos y aplicaciones, con el objetivo de identificar las amenazas con mayor viabilidad de progresar.
- Seguridad en las aplicaciones, desde el desarrollo hasta su puesta en producción. Tanto para aplicaciones orientadas a la Web, como móviles y/o convencionales.
- Seguridad específica para motores de bases de datos, en conjunto con soluciones de enmascaramiento de datos (estático y dinámico).
- Ejecución frecuente de “test de intrusión”, evaluación de vulnerabilidades y evaluación de vulnerabilidades específicas de bases de datos.
- Seguridad perimetral, por medio de IPS de nueva generación (con capacidad de aprendizaje y predicción).
- Seguridad en los dispositivos “finales” (terminales o endpoints), incluyendo estrategias para prevenir la fuga de datos, hasta la encoriación.
- Encripción “on fly” (en tránsito) y “on rest” (en el repositorio de datos).
- Gestión segura de las identidades (incluyendo conceptos como identidad federada).
- Un “mapa”, camino/estrategia a seguir, para pasar de un comportamiento básico y reactivo, hacia uno proactivo y automatizado.
En este proceso, es conveniente pedir la ayuda de terceros dedicados a la seguridad de la información que puedan asesorar sobre el estado de la protección de los datos en la organización, e incluso que ayuden a ejecutar algunas de las medidas sugeridas.
