Es fácil que las empresas se sientan abrumadas ante la gran cantidad de marcos y normas de seguridad que existen. Y esto es especialmente cierto en el caso de las empresas pequeñas y medianas que no cuentan con un responsable de seguridad de la información (CISO) , o que tal vez ni siquiera dispongan de personal de TI. ¿No sería estupendo que existiera una lista detallada de medidas que las empresas pudieran adoptar y que resolvieran la mayoría de sus problemas de ciberseguridad?
En Australia sí que lo hay. Y es un hecho que se pasa por alto con frecuencia.
La Dirección Australiana de Señales (ASD), que es el equivalente a la Agencia de Seguridad Nacional de EE. UU., elaboró hace varios años precisamente una lista de buenas prácticas para protegerse contra los ciberataques, que comenzó con cuatro puntos y posteriormente se amplió hasta lo que hoy se conoce comúnmente en Australia como «los Ocho Fundamentales de la ». Se anima tanto a las entidades públicas como a las privadas a que sigan estas prácticas; sin embargo, cumplir incluso con el nivel uno ha resultado ser un reto para muchas de ellas y, en particular, una tarea abrumadora para las pequeñas y medianas empresas (pymes).
En su momento, cuando la ASD definió las cuatro primeras estrategias de mitigación, afirmó que su aplicación evitaría el 85 % de los riesgos de ciberseguridad a los que, según observaba, se enfrentaban las organizaciones a diario. Este enfoque encarnaba el principio de Pareto, cuyo objetivo era cubrir la mayor parte del trabajo con (idealmente) solo un pequeño esfuerzo.
Esos cuatro eran:
- Lista blanca de aplicaciones
- Aplicaciones de parches
- Aplicación de parches a los sistemas operativos
- Reducción al mínimo de los privilegios administrativos
Eso fue el 2011. A medida que el panorama de amenazas se fue volviendo más complejo con el paso del tiempo, el concepto de «lista blanca de aplicaciones» pasó a denominarse «control de aplicaciones», y la lista se amplió en 2017 para incluir:
- Autenticación multifactorial
- Fortalecimiento de las aplicaciones de usuario
- Copias de seguridad periódicas
- Restringir las macros de Microsoft Office
Y, sin embargo, a pesar de que hace hincapié en obtener los máximos beneficios con el mínimo esfuerzo, y de una campaña inicial de sensibilización pública muy llamativa (hablaremos de ello en un momento), el cumplimiento de las « E8—especially » por parte de las pymes es pésimo. Esto puede parecer contradictorio, sobre todo si se tiene en cuenta que el marco se divide en ocho categorías aparentemente sencillas, dos de las cuales transmiten el mismo mensaje básico y claro: ¡Por el amor de Dios, actualice su software! Entonces, ¿cuál es el problema?
[Véase también: Cómo simplificar y automatizar el cumplimiento de las «Ocho Normas Esenciales»]
Los expertos que debaten esta cuestión afirman que parte de la razón del incumplimiento radica en el hecho de que esas ocho categorías pueden parecer bastante sencillas de entender a primera vista, pero no lo son en la práctica. Y, cuanto más se profundiza en el tema, más complicadas resultan —y menos factibles de alcanzar para la mayoría de las pymes—.
La pregunta fundamental de los «Essential Eight»: ¿Cuál es su nivel de madurez?
La ASD aplica un modelo de madurez de cuatro niveles a los «Essential Eight». Si bien las entidades de la Commonwealth australianas que no son sociedades deben cumplir con el nivel de madurez dos, las empresas privadas pueden, por lo general, decidir qué nivel de seguridad desean adoptar (o cuánto están dispuestas a pagar por ello).
- El nivel cero es el nivel más básico (se podría decir que corresponde a un nivel de madurez im), que pone de manifiesto las debilidades en la postura de ciberseguridad de una organización y la deja totalmente expuesta a los ataques.
- El nivel uno de « » (que suele ser adecuado para pymes) se centra en proteger a las organizaciones frente a las técnicas de ataque de uso común en la comunidad, como el tipo de herramientas que los «script kiddies» y otras personas sin amplios conocimientos de piratería informática utilizan al azar para aprovechar vulnerabilidades bien conocidas que las empresas aún no han tenido tiempo de corregir.
- El nivel dos (que suele aplicarse a las grandes empresas) protege frente a actores malintencionados que dedican más tiempo y conocimientos a sus ataques, quizá utilizando técnicas de phishing o técnicas de ingeniería social para ejecutar aplicaciones maliciosas y destruir datos.
- El nivel tres (especialmente importante para las infraestructuras críticas) se centra en los atacantes más sofisticados, que no necesitan recurrir a herramientas de acceso público, sino que pueden diseñar sus propias armas digitales, como el ransomware y otras. Estos atacantes recurrirán a técnicas de ingeniería social más sofisticadas (por ejemplo, conseguir que un empleado no solo haga clic en un enlace malicioso, sino que, sin darse cuenta, eluda los controles de la red), se desplazarán a distintas partes de la red para sustraer o corromper datos y borrarán sus huellas.
Cada nivel incluye especificaciones detalladas para cada una de las ocho medidas. Por ejemplo, el nivel uno cuenta con nueve criterios distintos solo para la aplicación de parches a las aplicaciones. Existe una publicación específica sobre la aplicación de parches, al igual que ocurre con la mayoría de los temas de «Essential Eight», que ofrece orientaciones detalladas sobre cuestiones como la identificación de parches que faltan, la gestión de fallos durante la aplicación de parches y qué hacer durante los periodos de congelación. Otras listas de control son igualmente detalladas.
La ASD actualizó de forma sustancial los controles de los «Essential Eight» en el documento « November 2023», incorporando nuevos requisitos, como la obligación de aplicar un parche en un plazo de 48 horas tras el descubrimiento de una vulnerabilidad crítica. Las actualizaciones abarcaron la mayor parte de los indicadores clave.
«Ya no se trata de un simple conjunto de controles», afirma Jamie Norton, miembro del consejo de administración de ISACA, una organización sin ánimo de lucro internacional dedicada a los controles. «Es un conjunto de controles bastante amplio».
No es tan sencillo como «slip, slop, slap»
La presentación de las cuatro mejores prácticas originales de la ASD se hacía eco de ese tipo de mensajes de sensibilización pública sencillos en los que Australia destaca: eslóganes breves y fáciles de recordar que van directos al grano. Like the “slip, slop, slap” campaign that encouraged people to fight melanoma by wearing sunscreen and hats; the anti-speeding slogan "Wipe off five," which encouraged reducing road speed by just five kilometers per hour; and the fabulously Australian 1980s corker "If you drink and then drive, you're a bloody idiot."
«: Catch, Patch y Match.»Un eslogan inicial sobre ciberseguridad del Gobierno australiano que no logró cuajar (ni mejorar los índices de cumplimiento en materia de ciberseguridad)
La campaña de vídeos en línea «Catch, Patch, and Match» de la ASD sobre ciberseguridad resumía las cuatro primeras reglas (combinando con gran ingenio las dos reglas relativas a la aplicación de parches) y afirmaba que, de cumplirlas, se eliminarían el 85 % de los incidentes de ciberseguridad. Sin embargo, en materia de ciberseguridad no se puede optar por la simplicidad; un tema tan complejo requiere algo más que una campaña de sensibilización llamativa.
«Ese tipo de idea basada en eslóganes de seguridad pública… resulta estupenda para los consumidores si lo único que se busca es proteger el correo electrónico y el ordenador», afirma Norton, «pero quizá no tanto para las empresas».
De ahí la evolución hacia el «Essential Eight», menos accesible, que no contaba con vídeos en línea tan llamativos. En cambio, se comunicó entre bastidores, en unas reuniones de gestión de riesgos , donde su gran número de subcontroles podía ser analizado minuciosamente por los expertos.
También se reguló, en el marco de una iniciativa que ha tenido resultados limitados.
«Essential Eight», según las cifras (que reflejan un cumplimiento mediocre)
A partir de 2022, el nivel E8 -2 pasó a ser obligatorio para las organizaciones gubernamentales no empresariales, y es más probable que las empresas de mayor tamaño hayan alcanzado este nivel de madurez que las de menor tamaño. Dicho esto, parece que a nadie le ha ido especialmente bien. Según un informe de ASD de sobre el cumplimiento de la norma en 2024, solo el 15 % de las entidades públicas alcanzó el nivel de madurez global dos, lo que supone un descenso respecto al 25 % del año anterior. en 101.
¿Pueden las pymes permitirse realizar esa inversión, incluso en el nivel uno?
«No es probable», afirma Ash Raina, miembro del comité de un grupo de expertos de la Asociación de Pequeñas Empresas de Australia y director de una empresa de consultoría informática para pymes llamada KPPro.
«Cuando se habla de el fortalecimiento de la seguridad de las aplicaciones, la aplicación de parches a las aplicaciones y la aplicación de parches a los sistemas operativos, dependiendo de la fase del ciclo de vida en la que se encuentre un proyecto, estas tareas pueden requerir tiempo, esfuerzo y dinero», afirma.
Los elevados costes que supone operar en el mercado australiano han agravado el problema, afirma Raina. Los datos más recientes de la Oficina Australiana de Estadística (del 2022) revelaron que el 57 % de todas las empresas había experimentado un aumento en los costes de su actividad empresarial a lo largo de un periodo de tres meses. Uno de cada cinco encuestados señaló que los costes habían aumentado considerablemente.
Las pymes al «Essential Eight»: No nos lo creemos
Ante prioridades como, sencillamente, mantenerse a flote, son pocas las pymes que se han sumado a la iniciativa en materia de ciberseguridad. Una encuesta de « » realizada por el Centro Australiano de Ciberseguridad (ACSC), que forma parte de la ASD, a más de 1,700 empresas reveló que casi la mitad calificaba su propio nivel de concienciación en materia de ciberseguridad como medio o por debajo de la media. ¿Y los presupuestos de ciberseguridad? Aproximadamente el mismo número de personas no gastaba más de 500 dólares al año en ciberseguridad.
«. Aunque [el Essential Eight] seguía siendo una buena iniciativa, las pymes que no cuentan con un especialista en ciberseguridad —o probablemente ni siquiera con un técnico informático— no captan el matiz.»Jamie Norton, miembro del consejo de administración de ISACA, una organización sin ánimo de lucro dedicada a los controles internacionales
Sin embargo, cuanto más pequeña es una empresa, más ayuda necesita. La misma encuesta reveló que el coste medio declarado por las propias empresas, derivado de los delitos informáticos, para el 92 % de las empresas con una facturación anual inferior a 2 millones de dólares, ascendió a casi 50,000 dólares en FY2023-24. Esto supuso un aumento del 8 % con respecto al año anterior. Por el contrario, las empresas medianas y grandes registraron un descenso en sus pérdidas medias.
«Su mayor reto radica en las competencias y los conocimientos especializados», afirma Norton al referirse a las pymes. «Aunque [el Essential Eight] seguía siendo una buena práctica, este matiz se pierde en el caso de las pymes que no cuentan con un especialista en ciberseguridad, o que probablemente ni siquiera tengan un responsable de TI». «Puede que se entienda en qué consiste la aplicación de parches, pero cuando se empieza a entrar en detalles sobre cuándo, por qué y cómo se aplica exactamente ese parche, eso ya es demasiado detallado».
El problema de «personal» de los «Ocho Imprescindibles»
Paradójicamente, para tratarse de una campaña de sensibilización, la ASD también resta importancia a la importancia de contar con usuarios informados, afirma Louise McGrath, directora de desarrollo industrial y políticas del Australian Industry Group (Ai Group).
«. Creo que, si volvieran a hacer Essential Eight, tendría un componente más humano.»Louise McGrath, directora de desarrollo industrial y políticas del Australian Industry Group
El énfasis de «The Essential Eight» en los controles técnicos resulta especialmente problemático, dado el aumento de los ataques de ingeniería social. Las empresas australianas sufrieron pérdidas por valor de 84 millones de dólares a causa de un ataque de suplantación de identidad en el correo electrónico empresarial en FY2023-24, según el ACSC. Y aunque los controles técnicos, como la segmentación y las copias de seguridad, pueden ayudar a protegerse contra el ransomware, también resulta fundamental una buena dosis de concienciación de los usuarios .
«Creo que, si volvieran a organizar el Essential Eight, tendría un carácter más humano», afirma McGrath. «Las empresas están tomando cada vez más conciencia de que el verdadero riesgo para las personas radica siempre en el comportamiento, y se está destinando una inversión mucho mayor a la formación del personal».
Pero, una vez más, la formación de los empleados requiere tiempo, presupuesto y personal para llevarla a cabo, recursos de los que las pymes suelen carecer. En una encuesta reciente realizada a pymes de Australia Occidental por investigadores de la Universidad de Murdoch, solo el 35 % de los encuestados había destinado un presupuesto a la ciberseguridad, el 34 % había impartido formación a sus empleados sobre concienciación en materia de ciberseguridad y estafas en línea , y eran muchos menos los que sabían siquiera que existían marcos de ciberseguridad diseñados para ayudarles: el 32 % conocía el marco del Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. , menos de una cuarta parte conocía los «Essential Eight», y el 17 % no conocía ninguno en absoluto.
Ocho alternativas imprescindibles (diseñadas pensando en las pymes)
Oficialmente, el «Essential Eight» solo es obligatorio para las organizaciones gubernamentales. En la práctica, según afirma McGrath, se han ido introduciendo progresivamente en el uso generalizado de la cadena de suministro.
«Cuando se es un nuevo proveedor, el cliente —sobre todo si se trata de una gran empresa— le proporcionará una autoevaluación sobre los niveles de madurez de los "Essential Eight"», afirma. Es posible que las pequeñas empresas puedan evitarlo, «mientras que, si se trata de una empresa mediana, es más probable que le hagan esas preguntas».
No obstante, existen normas alternativas diseñadas específicamente para las pymes. El marco « : SMB 1001 » ( ), elaborado por Dynamic Standards International, con sede en Canberra, es un ejemplo de ello.
Si busca algo aún más sencillo, el ACSC cuenta con su propia guía independiente sobre ciberseguridad para pymes, titulada « » (). Aquí encontrará algunas indicaciones sencillas, como consejos para la formación del personal. El Centro recomienda que, a continuación, las pymes pasen al nivel uno del modelo de seguridad «Essential Eight».
Lo que realmente podría ser de ayuda es una certificación mínima independiente para las pequeñas empresas, simplemente para demostrar que han realizado algún tipo de esfuerzo, más allá de comprar una copia de Norton para el ordenador de la recepcionista.
El modelo «Cyber Essentials» del Centro Nacional de Ciberseguridad del Reino Unido ofrece una buena referencia. Cuenta con cinco controles técnicos relativamente breves (aunque, lamentablemente, no incluye ningún control específico relacionado con la sensibilización o la formación del personal). Además, cuenta con un cuestionario de preparación que los empresarios pueden completar en línea para determinar las medidas más urgentes que deben adoptar.
A la hora de conseguir que las pequeñas empresas realicen cualquier tarea relacionada con las tecnologías de la información, es fundamental que todo resulte lo más fácil de entender, rentable y fluido posible. Esos, por encima de todo, son fundamentales.
