No han faltado noticias en 2022 que han hecho temblar a los CISO y se les han erizado los pelos, entre ellas el auge de la guerra cibernética global , y la crueldad de las bandas de ransomware .
A continuación se exponen las tendencias que deberían preocupar más a los dirigentes empresariales y que podrían sembrar el temor y la inquietud durante los próximos años:
Las vulnerabilidades del firmware se están multiplicando
El firmware actúa como interfaz entre el hardware y otros dispositivos que ejecutan software. Por lo tanto, proporciona a los atacantes el codiciado acceso a los dispositivos finales y les permite permanecer sin ser detectados durante largos períodos de tiempo.
«. Todo software tiene un punto débil, y el firmware no es más que software.»Roger Thompson, responsable técnico de producto de ReversingLabs
Los atacantes se centran cada vez más en el firmware de los dispositivos y consiguen infiltrarse en él con éxito. Un ejemplo reciente es « » de CosmicStrand, que aprovecha la interfaz unificada de firmware extensible (UEFI) y fue dado a conocer por primera vez por el proveedor ruso de soluciones antimalware Kaspersky Lab. El ataque se dirige al chipset H81 y, si tiene éxito, desactiva el software de seguridad que se ejecuta en el dispositivo.
En 2022, el número de vulnerabilidades graves del firmware siguió aumentando. En febrero, la empresa de seguridad Binarly detectó vulnerabilidades críticas en « InsydeH2O», un tipo de firmware UEFI. Estas vulnerabilidades afectaron a todos los fabricantes que utilizan código de desarrolladores independientes de BIOS (IBV) en su software para facilitar el funcionamiento de los sistemas operativos de los ordenadores. Binarly informó en una entrada del blog « » ( ) de que se habían detectado vulnerabilidades en productos de fabricantes como Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft e Intel.
[Lea también: Las vulnerabilidades del firmware ponen en peligro los ordenadores portátiles]
«Nos encontramos en una carrera constante, en la que la línea se va desplazando hacia abajo en la pila [tecnológica]», afirma Roger Thompson, experto en seguridad contra el malware y en firmware, y director técnico de producto de ReversingLabs, empresa que ofrece una plataforma de seguridad para la cadena de suministro de software. «Todo software tiene un punto débil, y el firmware no es más que software». Afirma que los ataques contra el firmware no harán más que aumentar a medida que las empresas implementen más dispositivos finales, lo que amplía la superficie de ataque global.
Las amenazas persistentes avanzadas acechan en el interior de las redes
Una premisa básica del enfoque de seguridad «» (cero confianza) es que los entornos informáticos ya han sufrido una brecha de seguridad y que los atacantes ya se encuentran dentro de un número indeterminado de servidores y dispositivos finales. Los equipos de seguridad aún no saben cuáles son. Dado que las credenciales sustraídas se utilizan para desplazarse lateralmente tras una intrusión inicial, sigue siendo fundamental detener a los atacantes tan pronto como logran acceder a una organización.
«: Existen normas claras en materia de guerra convencional, pero no hay normas claras de los Convenios de Ginebra en materia de guerra cibernética. Ahí fuera es como el Salvaje Oeste.»Tom Kirkham, director ejecutivo y director de seguridad de la información de Kirkham IT
El modelo «zero trust» es una arquitectura técnica que parte de la premisa de que las personas, los sistemas y los dispositivos deben autenticarse de forma continua. Los analistas prevén que el valor del mercado global de «zero-trust» alcance los 126 000 millones de dólares en 2031, frente a los 24 000 millones de dólares registrados en 2021.
«Este modelo difiere radicalmente del enfoque de “confiar, pero verificar”, que tradicionalmente ha expuesto a las redes a actividades malintencionadas por parte de agentes internos», afirma Robin Berthier, director ejecutivo de Network Perception, empresa que ofrece soluciones de verificación y visualización de la segmentación de redes. Afirma que el gran interés que suscita esta arquitectura de seguridad se debe, en parte, a la orden ejecutiva « » () que el presidente Biden promulgó en May 2021 y en la que se exige al Gobierno federal que adopte el modelo «zero trust». Aunque existen muchas interpretaciones diferentes, están surgiendo estándares de «confianza cero», como el 800-207 del NIST, el ZTX de Forrester y el CARTA de Gartner.
El ransomware sigue siendo una lacra
El ransomware « » sigue acarreando elevados costes. Según Cybersecurity Ventures, se prevé que el coste de los ataques de ransomware alcance los 265 000 millones de dólares en 2031, frente a los 20 000 millones de dólares registrados en 2021. Los costes incluyen la pérdida de productividad y de ventas, la gestión de las consecuencias de una filtración de datos y las multas impuestas por las autoridades reguladoras.
El proveedor de software antimalware Webroot ha clasificado a LockBit como el 2022’s .º grupo de ransomware más prolífico y exitoso. Aunque este grupo lleva años ofreciendo «ransomware como servicio», sigue perfeccionando sus tácticas. Además de exigir un rescate por los datos —amenazando con hacerlos públicos si no se abona el pago—, el grupo de piratas informáticos también lleva a cabo ataques de denegación de servicio distribuidos (DDoS).
«A medida que la automatización de l es se vuelve cada vez más accesible, aumenta el número total de ataques», afirma Tom Kirkham, director ejecutivo y responsable de seguridad de la información de la consultora Kirkham IT. «[Los grupos] están adoptando un enfoque cada vez más sofisticado. Incluso hemos visto agencias enteras especializadas en ransomware que se ofrecen a cambio de una remuneración. «Se centrarán en una persona concreta y pondrán en marcha una estrategia a medida para llamar directamente su atención y introducirse en sus círculos más cercanos».
Las cadenas de suministro siguen siendo vulnerables
Lograr una visión clara de las cadenas de suministro de software es una preocupación constante. Con software y servicios de todo tipo —incluidas las soluciones de código abierto, comerciales, en la nube y de terceros—, resulta complicado garantizar que el código no contenga fallos que puedan ser objeto de explotación.
«El riesgo derivado de terceros en la cadena de suministro o las vulnerabilidades de los componentes de software de terceros siguen siendo un factor muy importante en las infracciones provocadas desde el exterior», afirmó Sandy Carielli, analista principal de Forrester, durante el Foro de Seguridad y Riesgos « » de esta empresa de investigación. «Es probable que las organizaciones cuenten con más terceros en su ecosistema que nunca».
[Lea también: ¿En qué consiste la gestión de riesgos de terceros?]
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) ha estado promoviendo activamente el uso de las listas de materiales de software (SBOM), es decir, listas de inventario de los componentes de software presentes en los productos, como una forma de contribuir a mejorar la seguridad de la cadena de suministro de software. Las listas de materiales de software (SBOM) aportan visibilidad sobre los componentes de software presentes en el software comercial y de código abierto de una organización.
Los riesgos geopolíticos se multiplican
Si hay algo que ha quedado claro este año es que el riesgo geopolítico está estrechamente relacionado con el riesgo cibernético. Cada nuevo conflicto aumenta el riesgo de sufrir ciberataques. Los ciberataques contra los sectores público, energético, de los medios de comunicación, financiero, empresarial y sin ánimo de lucro de Ucrania se intensificaron incluso antes de la invasión a gran escala de Rusia en February 2022. Desde entonces, los ciberataques rusos han obstaculizado la distribución de medicamentos, alimentos y suministros de ayuda humanitaria, según se desprende de un informe del Parlamento Europeo publicado en .
«La tendencia potencial más peligrosa para los CISO en la actualidad es la reticencia a actuar ante cualquier situación debido al temor a amenazas legales al estilo de Uber.»David Maynor, director sénior de inteligencia sobre amenazas de Cybrary
«El impacto [de los ciberataques] ha abarcado desde impedir el acceso a servicios básicos hasta el robo de datos y la desinformación, incluida la tecnología deepfake», se señala en el informe. «Otra actividad cibernética maliciosa consiste en el envío de correos electrónicos de phishing del tipo « » (), ataques de denegación de servicio distribuidos y el uso de malware de borrado de datos, puertas traseras, software de vigilancia y programas de robo de información». Las infraestructuras críticas también han sido objeto de un número cada vez mayor de ataques en Occidente.
Ante el recrudecimiento de las amenazas militares de China hacia Taiwán, el Gobierno taiwanés está aumentando su resiliencia cibernética al tiempo que refuerza sus capacidades militares convencionales. Los ciberataques contra Taiwán se intensificaron con la visita de la presidenta de la Cámara de Representantes de los Estados Unidos, Nancy Pelosi. Se utilizaron vallas publicitarias electrónicas para mostrar mensajes contrarios a la visita de Pelosi.
«Hay tanta agitación en el mundo, tanto en los Estados autoritarios como en los democráticos», afirma Kirkham. «Existen normas claras en materia de guerra convencional, pero no hay normas claras de los Convenios de Ginebra en materia de guerra cibernética». «Ahí fuera reina el caos, tanto en lo que respecta a la protección como a la seguridad». A Kirkham le sorprende que Occidente no haya sido objeto de más ataques a gran escala por parte de Rusia o Irán.
La incertidumbre jurídica proyecta una larga sombra
A principios de October 2022, un jurado federal de San Francisco declaró culpable a Joe Sullivan, antiguo director de seguridad de Uber, por ocultar a la Comisión Federal de Comercio información relativa a una filtración de datos. El Gobierno argumentó con éxito que Sullivan obstaculizó una investigación en curso de la FTC al pagar a los piratas informáticos para que guardaran silencio y al no denunciar la filtración. Aún no se ha dictado sentencia contra Sullivan, pero el veredicto ha llamado la atención de los responsables de seguridad de la información (CISO).
«La tendencia potencial más peligrosa para los CISO en la actualidad es la reticencia a tomar medidas ante cualquier situación por temor a amenazas legales al estilo de Uber», afirma David Maynor, director sénior de inteligencia sobre amenazas en Cybrary, una plataforma dedicada a la ciberseguridad y al desarrollo profesional en el ámbito de las tecnologías de la información. Tras dictarse el veredicto, afirma que los grupos privados de redes sociales y de contacto dedicados a la ciberseguridad «se volvieron locos» debatiendo qué significaba el veredicto para ellos. Aunque aún no se ha dictado sentencia, existe la posibilidad de que se le imponga una pena de prisión efectiva.
«Se trata de un cambio enorme con respecto a la época en la que los CISO se preocupaban por las multas», afirma Maynor. «Ahora les preocupa que, años más tarde, un jurado tenga que decidir si las medidas que adopten en una situación de emergencia podrían considerarse ilegales». «Ese temor provoca inacción por parálisis o incluso más trámites burocráticos que las organizaciones deben afrontar a la hora de responder a una filtración de datos».
Es poco probable que la versión 2023 resulte menos angustiosa que la 2022, y tanto las empresas como sus responsables de seguridad de la información (CISO) son conscientes de ello. Según una encuesta de « » ( ), realizada a más de 1,400 profesionales de TI de Spiceworks Ziff Davis, los presupuestos de seguridad superarán a otras categorías de inversión tecnológica empresarial, como las aplicaciones de productividad; el gasto en seguridad representará el 11 % del presupuesto destinado al software, el 7 % del destinado al hardware y el 6 % del destinado a los servicios en la nube « » ( ).
Los CISO solo pueden esperar que todo ese dinero se invierta adecuadamente.
