Los ataques cibernéticos: Peligro que no se puede ignorar

Los ataques cibernéticos: Peligro que no se puede
ignorar
Publicado Canal TI, Abril 2014
Alejandro Magdits
Socio de Consultoría
Un total de 1,900 empresas en cinco continentes pertenecientes a todos
los sectores empresariales participaron en la encuesta anual de seguridad
de información de EY, Los resultados del estudio mundial indican que
existe una latente preocupación por eventuales ataques cibernéticos en las
empresas lo que motiva la necesidad de anticipación y preparación para
prevenir y reaccionar.
Las empresas en Perú se ven afectadas por ataques cibernéticos de dos
formas:
• Directamente a través de la explotación de vulnerabilidades que pudieran
existir en el entorno de internet, o vulnerabilidades en las conductas de
personal de la empresa en situaciones de riesgo.
• Indirectamente a través de los clientes de las empresas que, mediante
mensajes, pueden ser inducidos a revelar información confidencial que los
afecte a ellos o a la empresa.
En general las empresas procuran establecer las barreras informáticas de
protección y educar a su personal y clientes para reducir los riesgos de un
ataque cibernético. Estimamos que en el Perú una de cada tres empresas
ha sufrido algún ataque cibernético durante 2013.
El avance de la informática y de las comunicaciones propicia una mayor
eficiencia operativa, pero también tienen de manera inherente riesgos que
deben ser identificados y analizados para determinar el eventual efecto que
pudiera tener sobre la confidencialidad, disponibilidad e integridad de la
información.
Los resultados del estudio sugieren la necesidad que la alta gerencia se
involucre y tome real conciencia del impacto de la seguridad informática en
las organizaciones. Sólo el 10% de las empresas encuestadas presentaba
un área de seguridad con reporte directo a la gerencia general; 28% reportó
contar con un gobierno y gestión de seguridad de información; y un 14%
mantiene una gestión de seguridad mayormente técnica a nivel de
operaciones.
Cabe resaltar que el 35% de las organizaciones encuestadas indicaron que
los profesionales responsables de la seguridad de la información tienen
acceso al directorio para reportar sobre el estado de la seguridad de la
empresa cada trimestre. Mientras que sólo el 38% consideran que los
riesgos de ataques cibernéticos forman parte de sus principales prioridades
y tomarán acción con el apoyo de la alta gerencia.
El nivel de involucramiento de la alta gerencia en los temas de seguridad de
información va de la mano con un presupuesto adecuado para invertir en los
elementos de control y seguridad de información que le permitan
salvaguardar la información de la empresa. Elementos tales como un
firewall para comunicaciones en el internet, programas antivirus y una
topología de red con servidores y software de identificación de intrusión son
una necesidad real. La inversión debe basarse en un estudio técnico de
vulnerabilidades y niveles de protección según las características de la red
de datos y actividad en el internet de la empresa, de sus clientes y
proveedores. No se debe esperar a tener un incidente para tomar acción en
la prevención y mitigación de riesgos.
Un resultado que se mantiene igual en los últimos tres años es que más de
la mitad de los encuestados (65%) reporta que las restricciones
presupuéstales siguen siendo el principal obstáculo para el desarrollo de
esquemas de seguridad de información en la empresa; 45% de los
encuestados reporta que planean orientar iniciativas para mitigar las
vulnerabilidades relacionadas con el uso de computación móvil y el efecto
del uso de los equipos personales (smartphones) en el entorno de la
empresa. En general, la mayor amenaza identificada por los encuestados
es el phishing y el malware; 31 % indica que se ha incrementado el número
de incidentes en los últimos 12 meses.
La gerencia general debe entender las amenazas a las que se encuentra
expuesta su organización por la tecnología de cómputo y comunicaciones
que usa en su negocio, para poder decidir la prioridad de las iniciativas y las
inversiones vinculadas a ellas. Los ataques cibernéticos son un claro y real
peligro que no se puede ignorar.