Dado que los responsables de seguridad se enfrentan a una avalancha de ataques de ransomware y otras ciberamenazas, puede resultar complicado saber en qué deben centrar sus esfuerzos. Ahí es donde una «puntuación de riesgo cibernético» promete venir al rescate.
Estas calificaciones son como una puntuación de solvencia en materia de ciberseguridad. La puntuación de riesgo cibernético de ofrece una evaluación del nivel específico de exposición de una organización a los ciberataques, su desempeño en relación con decenas de estrategias de mitigación necesarias y los puntos débiles que aún persisten en su sistema de seguridad.
Los ciberataques suelen tener éxito debido a errores que se pueden evitar, como no instalar las actualizaciones de software de y una gestión deficiente de los parches de .
La evaluación del riesgo cibernético puede poner de manifiesto estos problemas antes de que den lugar a una filtración de datos. Ofrecen una forma fácil de entender y basada en datos contrastados para desarrollar una estrategia específica de prevención del ransomware , y resultan especialmente útiles a la hora de transmitir la urgencia de las mejoras a la alta dirección y al consejo de administración, o a los responsables de los organismos públicos.
Dado que todo, desde las tarifas de los seguros de hasta las operaciones de fusiones y adquisiciones de , se basa en las puntuaciones de riesgo cibernético, los directores de seguridad de la información (CISO) harían bien en prestar atención a su llamamiento. Sin embargo, estas cifras, que parecen sencillas, no son más que una pieza del rompecabezas de la seguridad. Y no todas las puntuaciones de riesgo son iguales. Merece la pena analizar a fondo la situación antes de basarse en estas puntuaciones para tomar decisiones de vital importancia.
El precio de la inacción
Una oleada de ataques de ransomware, que han causado graves trastornos y daños, a lo largo de los últimos 18 meses ha sacudido incluso a las organizaciones con mayor nivel de seguridad. Cybersecurity Ventures estima que los costes derivados del ransomware superarán los 265 000 millones de dólares en un 2031 %. Casi el 40 % de los ejecutivos encuestados por la empresa de estudios de mercado IDC había sufrido uno o dos ataques de ransomware en los 12 meses anteriores, lo que les obligó a destinar importantes recursos a su resolución. El 37 % de los directivos afirmó que un ataque había provocado una interrupción de una semana o más.
A medida que aumentan el ritmo y la intensidad de los ataques, los CISO, preocupados, están evaluando su situación de seguridad e intentando comprender el nivel de riesgo al que se enfrentan sus organizaciones. Según IDC, aproximadamente el 50 % de los responsables de la toma de decisiones y de las personas influyentes en materia de seguridad informática afirmaron que la preocupación por los ataques de ransomware les había llevado a realizar pruebas de estrés periódicas de sus procedimientos de respuesta cibernética durante el año anterior. Y el 37 % había llevado a cabo una revisión a nivel de toda la organización de las prácticas de seguridad, protección de datos y recuperación, utilizando información disponible públicamente. A pesar de todo este trabajo, más de tres cuartas partes de los directivos no confían en el perfil de seguridad de su organización, según otro estudio titulado « », elaborado por la consultora IDG Connect.
Como es lógico, muchos responsables de seguridad de la información (CISO) han recurrido a los índices de riesgo cibernético para obtener información muy necesaria sobre el nivel de exposición de su organización. Si bien las puntuaciones pueden resultar útiles para identificar puntos débiles, resultan aún más útiles cuando ayudan a establecer prioridades en cuanto a las amenazas y a las medidas que deben adoptar las organizaciones para protegerse frente a ellas.
«Una simple puntuación no permite a los responsables de ciberseguridad tomar ese tipo de decisiones empresariales», afirma Bob Maley, director de seguridad (CSO) de Black Kite, una plataforma de evaluación de riesgos cibernéticos fundada por un hacker ético certificado (CEH) de la OTAN. «Es necesario disponer de información que le ayude a tomar la decisión de que debe hacer algo —y que garantice que sus acciones sean adecuadas—».
A medida que proliferan los ataques de ransomware de tipo « » , los consejos de administración de las empresas y los responsables de los organismos públicos están presionando a los CISO y a los CIO para que les proporcionen garantías, basadas en datos, de que sus organizaciones han reforzado la seguridad. Casi el 30 % de las organizaciones encuestadas por IDC afirmaron que, durante el año anterior, sus consejos de administración habían solicitado una presentación sobre los procedimientos de respuesta ante ataques de ransomware y las prácticas actuales de protección y recuperación de datos.
[Read also: Ransomware 101: What is it and how do I prevent an attack?]
«Aunque los equipos directivos suelen tener un buen dominio de la comprensión del riesgo, cuantificar el riesgo en materia de ciberseguridad ha resultado ser una tarea difícil», afirma Shawn Marriott, director de gestión de productos de Tanium. Esto se debe, en parte, a que los datos de « » (información de la empresa) relevantes para la seguridad se encuentran dispersos en distintos silos dentro de organizaciones grandes y complejas. Además, los equipos de TI y de seguridad suelen utilizar herramientas y métricas diferentes para evaluar si han alcanzado sus objetivos.
«El mayor problema con el que nos enfrentamos en estos momentos es que existen pocos marcos de referencia para identificar, cuantificar y priorizar los riesgos cibernéticos», explica Nadav Zafrir, cofundador de la empresa de capital riesgo tecnológico Team8. «Las organizaciones no pueden protegerlo todo», afirma Zafrir. Dado que sus redes son interdependientes con los clientes, los socios de la cadena de suministro e incluso el Gobierno, afirma, los líderes empresariales deben comprender los riesgos, priorizarlos y, a continuación, optimizar su estrategia para poder reducir la probabilidad de que se produzca un ataque con éxito.
Qué debe tener en cuenta
Aunque los CISO recurren a los índices de riesgo cibernético para evaluar las amenazas a las que se enfrentan sus organizaciones, el ataque a Colonial Pipeline, del que se hizo público un vídeo en , pone de manifiesto lo absurdo que resulta dar demasiada importancia a una sola cifra.
«Colonial Pipeline tenía una puntuación [de riesgo] aceptable. Sin embargo, hubo algunas señales claras que nos indicaron cómo se convirtieron en víctimas.»Bob Maley, director de seguridad (CSO) de Black Kite
«En cuanto a su calificación de seguridad, obtuvieron una puntuación aceptable», afirma Maley, quien anteriormente ocupó el cargo de director de seguridad e inspecciones externas a nivel mundial en PayPal, trabajó como consultor de riesgos en Wells Fargo y fue director de seguridad de la información (CISO) del estado de Pensilvania. «Sin embargo, había algunos indicios claros en un par de elementos que nos permitieron comprender cómo se convirtieron en víctimas».
Colonial Pipeline no es un caso aislado. Los incidentes de seguridad suelen ser consecuencia de puntos débiles en las prácticas de seguridad de una organización . Para que resulte verdaderamente útil, una puntuación de riesgo debe incluir información de seguridad que impulse a la empresa a subsanar las vulnerabilidades que dicha puntuación ayude a identificar.
«Existen controles compensatorios que, aunque no eliminan el riesgo, su configuración o su activación contribuyen a mitigar los riesgos», afirma Marriott, de Tanium. Entre ellas se incluyen medidas como asegurarse de que tiene instalado un programa antivirus y de que esté actualizado. «No es raro encontrar programas antivirus que llevan 10 años sin actualizarse», afirma.
[Lea también: No se pueden combatir las amenazas del mañana con la mentalidad de ayer]
Las soluciones actuales de evaluación de riesgos suelen presentar carencias en su análisis de los datos de seguridad interna. «Les cuesta proporcionar a las organizaciones información puntual y precisa sobre todo su parque informático», afirma Marriott, «pero los datos son incoherentes y puntuales», lo que puede sesgar los cálculos de riesgo.
En cambio, Marriott afirma que una solución contra los riesgos cibernéticos debería cumplir con lo siguiente:
Proporcione un amplio conjunto de datos de seguridad
Al contar con información sobre los controles de seguridad internos, los posibles vectores de ataque, las principales vulnerabilidades y los requisitos de cumplimiento, los CISO pueden detectar mejor los riesgos y destinar recursos a aquellos que puedan tener un mayor impacto en sus organizaciones.
Por ejemplo, la pérdida de un ordenador portátil de un alto directivo es más grave que la de un empleado de nivel inicial. Los mejores sistemas destacan el número exacto de terminales que requieren corrección, así como el nivel de gravedad de cada uno de ellos. «Una vez que los equipos de seguridad disponen de esa información, pueden realizar análisis para comprender y, a continuación, priorizar qué aspectos deben solucionarse para reducir el nivel de riesgo», afirma Marriott.
Habilite una gestión de prioridades más inteligente
Una puntuación de riesgo puede ofrecer una visión general del estado de la ciberseguridad de una organización en un momento determinado. Sin embargo, resulta más útil disponer de una puntuación continua y global que ayude a un equipo de TI con una gran carga de trabajo a detectar patrones en tiempo real y a abordar rápidamente los riesgos más urgentes. «Se le podría entregar a alguien una lista de 20 puntos finales de los que ocuparse, lo cual, en realidad, sería una cantidad razonable con la que trabajar», afirma Marriott.
Ampliar el perfil de seguridad de la organización
Dado que las organizaciones recurren cada vez más a los seguros cibernéticos para compensar los pagos a los delincuentes, las aseguradoras tienen un gran interés en disponer de pruebas que demuestren que el cliente mantiene buenas prácticas de seguridad cibernética. Del mismo modo, las terceras partes tienen un interés particular en comprender el riesgo que suponen sus socios de la cadena de suministro. Y si el Gobierno llegara a crear finalmente una Junta Nacional de Seguridad Cibernética para investigar los ciberataques, un sistema de puntuación integral podría resultar útil para los investigadores.
No obstante, por el momento, las organizaciones deben asegurarse de que su solución de evaluación de riesgos esté en consonancia con sus objetivos generales. Esto permitirá a los responsables empresariales —desde el consejo de administración y la alta dirección hasta los responsables de los equipos técnicos— comprender cómo una puntuación se traduce en pérdidas o ahorros económicos.
En última instancia, una visión común de los resultados empresariales garantizará que una solución de evaluación de riesgos ofrezca una hoja de ruta completa para prevenir los ataques de ransomware y mantener la resiliencia operativa.
