Dado que los acontecimientos mundiales están alcanzando su punto álgido, es fácil comprender que pueda haber perdido de vista el Mes de la Concienciación sobre la Ciberseguridad.
No se preocupe: estamos aquí para ayudarle.
Este año se celebra la vigésima edición de la campaña anual organizada por el Gobierno y el sector privado para dar mayor visibilidad a la seguridad digital y animar a todos, desde los líderes empresariales hasta los ciudadanos de a pie, a proteger sus datos frente a los ciberdelincuentes. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) se ha volcado por completo este año en la producción de su primer anuncio de servicio público « » (), que se emitirá por televisión y en Internet, y en el que se destacan cuatro aspectos de la ciberseguridad que la CISA espera dar a conocer más ampliamente.
«Las empresas… tienen un papel que desempeñar para garantizar la seguridad de nuestro mundo digital», explicó Jen Easterly, directora de la CISA, en un vídeo en línea con el que se presentaba la campaña. «La CISA insta a las empresas tecnológicas y a los desarrolladores de software a que protejan a nuestras empresas y a nuestros clientes particulares garantizando que sus productos sean seguros desde su diseño. «De ese modo, la tecnología es segura desde el primer momento y los estadounidenses están mejor protegidos».
Pero no son solo las grandes empresas tecnológicas las que pueden marcar la diferencia. Los directivos de empresas y los responsables de seguridad de organizaciones de todos los tamaños y de todos los sectores pueden reforzar considerablemente sus defensas si se informan sobre estos cuatro principios básicos de la ciberseguridad.
«Las empresas tienen un papel que desempeñar para garantizar la seguridad de nuestro mundo digital.»Jen Easterly, directora de la CISA
Se lo hemos puesto fácil. A continuación se presentan los cuatro temas clave del Mes de la Concienciación sobre la Ciberseguridad de este año, un consejo de Easterly (entre comillas y en cursiva) sobre la importancia de cada uno de ellos, y un enlace a la información más reciente de nuestra cobertura de estos temas durante el último año.
1. Utilice contraseñas seguras | «Es decir, largas, aleatorias y únicas»
Las contraseñas siguen siendo uno de los eslabones más débiles de la red informática de cualquier empresa. El informe « 2023 Weak Password Report» ( ), elaborado por Specops —una empresa de software de gestión de contraseñas con sede en Estocolmo—, analizó más de 800 millones de contraseñas comprometidas —por lo que estamos hablando de un tamaño de muestra bastante impresionante— y las evaluó según cinco normas reguladoras, entre ellas las del NIST.
¿La mala noticia? Un número sorprendente de contraseñas comprometidas —el 83 %— cumplía los requisitos de longitud y complejidad establecidos en estas normas.
La buena noticia es que se han detectado algunos errores bastante comunes que se pueden solucionar fácilmente, como la longitud (el 88 % de las contraseñas utilizadas en ciberataques tenían 12 caracteres o menos, así que haga que la suya sea más larga), el estilo (evite escribir todo en minúsculas) y la elección de palabras: Los términos relacionados con el fútbol, incluidos los nombres de jugadores favoritos como Lato, Pelé y Messi, son muy populares, y (lo sentimos, aficionados al Mundial) los hackers lo saben; y, sí, «contraseña» sigue siendo una de las palabras base más comunes que se encuentran en las contraseñas pirateadas, así que dejemos ese tema zanjado, ¿de acuerdo?
[Lea también: Resumen de CTI: ¿hasta qué punto es débil su contraseña?]
2. Active la autenticación multifactorial (MFA) | «Necesita algo más que una contraseña para sus cuentas más importantes»
He aquí un aspecto clave: aunque las contraseñas seguras son importantes, las contraseñas por sí solas (por muy seguras que sean) no bastan. Por eso, la CISA también anima a las organizaciones a invertir en una autenticación multifactorial (MFA) de tipo « », que requiere un nombre de usuario y una contraseña, además de un código o clave temporal que se envía al dispositivo del usuario.
Datos alarmantes sobre las contraseñas: los hackers lanzan una media de 50 millones de ataques a contraseñas cada día —lo que supone 580 por segundo— y, según Verizon, alrededor del 60 % de las filtraciones de datos se atribuyen a credenciales comprometidas.
Además, los restablecimientos de contraseñas suponen un gran gasto para el presupuesto: son uno de los principales motivos por los que los empleados llaman a los servicios de asistencia informática, con un coste para las empresas de hasta 70 dólares por llamada, según estima Forrester, y más de un millón de dólares al año para las grandes organizaciones.
«Las organizaciones no van a prescindir de las contraseñas de la noche a la mañana» —de ahí la regla n.º 1, mencionada anteriormente— «porque hacerlo resulta complejo», explicó Frank Dickson, vicepresidente de programas del departamento de investigación sobre ciberseguridad y confianza de IDC, en un artículo sobre las tendencias en materia de sistemas sin contrase s que publicamos el otoño pasado. «Pero hay muchos que siguen ese camino», afirmó.
Gracias a la creciente confianza en el modelo de ciberseguridad «zero trust» , las organizaciones están adoptando cada vez más enfoques sin contraseñas, como la autenticación multifactorial (MFA), la biometría y las herramientas de inicio de sesión único (SSO).
No es mi intención que se lleve un susto, pero también es cierto que la autenticación de dos factores (al menos algunas de sus modalidades) puede ser burlada por los piratas informáticos. Sigue siendo uno de los métodos de verificación más eficaces que existen, pero es cierto que algunas formas más recientes de autenticación multifactorial (MFA) son mejores que otras. Eche un vistazo a nuestro artículo de esta primavera, que se incluye a continuación, en el que se analiza cómo los piratas informáticos intentan eludir la autenticación multifactorial (MFA) y se describen tres tácticas para neutralizar estos ataques.
3. Detecte y denuncie el phishing | «Piense antes de hacer clic»
«Para Alex, en el departamento de atención al cliente, todo parecía indicar que iba a ser un viernes normal. «Nada fuera de lo normal…»
Así comienza una historia en formato de audio de 18 minutos sobre un ciberataque ficticio —pero muy típico— que utiliza el phishing y una inteligencia artificial generativa (GenAI) de , producida por Dell y disponible en su página web junto con otros recursos y herramientas relacionados con el Mes de la Concienciación sobre la Ciberseguridad. (Para escucharlo, haga clic en « » aquí y desplácese hacia abajo hasta el enlace «Audio story: A Modern Cyber Attack».) La historia, que se desarrolla como una obra de radio, pone de manifiesto cómo la IA general (GenAI) está haciendo que los correos electrónicos de phishing y los mensajes de texto —esos peligrosos mensajes que se envían a los trabajadores para intentar engañarlos y que hagan clic en enlaces y revelen datos confidenciales— sean cada vez más difíciles de detectar.
Hace apenas un año, los mensajes de phishing se caracterizaban por una redacción torpe y otros errores ortográficos que delataban que se trataba de una estafa. Sin embargo, gracias a los chatbots basados en la inteligencia artificial generativa (GenAI), como ChatGPT, esos mensajes suenan cada vez más reales e incluso pueden imitar el estilo de comunicación de un jefe, hasta en los matices más sutiles, como las frases que utiliza con frecuencia o las palabras que suele abreviar o escribir mal, lo que lleva a los empleados a creer que se trata de él o ella.
Y eso no es todo. El phishing por voz, también conocido como «vishing», en el que los estafadores le llaman por teléfono, también está en aumento (un incremento del 625 %, pasando de 2021 a 2022, según un informe reciente).
«El phishing por voz puede resultar más eficaz porque las personas tienden a bajar la guardia cuando hablan con alguien», explicó Roger Grimes, evangelista de KnowBe4 Defense, en un artículo destacado publicado el otoño pasado en Focal Point . Lea la historia que figura a continuación, en la que se detalla cómo nuestro redactor fue víctima de estafadores de «vishing» y cómo los directivos de las empresas pueden formar mejor a sus empleados para que se mantengan alerta.
[Lea también: Para protegerse contra el «vishing», actúe con prudencia]
4. Actualizar el software | «Habilitar actualizaciones automáticas»
Con demasiada frecuencia, los usuarios de tecnología consideran que las actualizaciones de software son opcionales, es decir, simplemente la última versión de un producto o herramienta con algunas novedades o funciones adicionales. Es necesario recordar a los trabajadores que las actualizaciones de software también están relacionadas con la seguridad, ya que corrigen vulnerabilidades que deben subsanarse para garantizar una mayor seguridad en Internet.
Activar las actualizaciones automáticas en la configuración de seguridad de un dispositivo o una aplicación es una forma cómoda de recibir actualizaciones y una de las formas más sencillas de reforzar nuestras defensas cibernéticas. (Un consejo para los responsables: quizá le interese informar a su personal sobre el seminario web gratuito de la CISA sobre cómo mantener el software actualizado, que tendrá lugar el martes, October 24, de las 12:12:30 p.m. , hora del Este.) Para inscribirse, haga clic aquí en « » ().
Para los directivos empresariales y los responsables de seguridad, las ventajas de la automatización de no se limitan a eso. La automatización de tareas clave de seguridad, como la gestión de parches, la gestión de vulnerabilidades y la respuesta ante incidentes , puede reportar enormes beneficios. Las fuentes de información sobre amenazas y las alertas de seguridad pueden activar automáticamente determinados guiones de respuesta ante incidentes de , en función de lo que se detecte.
En la medida en que las organizaciones puedan automatizar determinados protocolos de seguridad clave, «podrán reducir sustancialmente su superficie de ataque», declaró Kenneth Swick, consultor sénior de seguridad de NCC Group, a « » Focal Point. El artículo que figura a continuación destaca las formas en que las herramientas y los procesos automatizados pueden ayudar a los equipos de seguridad, a los cazadores de amenazas y a quienes crean centros de operaciones de seguridad.
[Read also: A security automation playbook for 2023]
¡PONGA A PRUEBA SUS HABILIDADES CIBERNÉTICAS!
Realice este cuestionario del Pew Research Center y compruebe si es capaz de identificar qué contraseña es la más segura, así como de definir términos técnicos (¿botnet? ¿rootkit? ¿DDoS?), e averiguar la verdad sobre la «navegación privada» (que no es tan privada como podría pensar).
