Nunca han faltado noticias en el ámbito de la ciberseguridad, y el año 2022 nos ha deparado algunas de las más sorprendentes.
Los ladrones publicaron en la dark web información sobre más de 1 millones de tarjetas de crédito robadas ; las demandas colectivas se han dirigido contra grandes empresas tras filtraciones de datos; y las empresas han sufrido robos de datos personales que han afectado a millones de clientes.
Aunque cambien los nombres de los implicados y la gravedad de los incidentes tenga sus altibajos, este tipo de historias, lamentablemente, se han convertido en la norma. Lo que resultará relevante para los CISO de cara al futuro son aquellos acontecimientos que tendrán un mayor impacto en el riesgo digital de las empresas, incluidas las tendencias totalmente nuevas y los factores clave que determinan las tendencias actuales.
Teniendo esto en cuenta, el responsable de « », , repasa las historias más trascendentales de 2022.
Se ha reforzado la seguridad de la cadena de suministro de software
Desde el ataque a la cadena de suministro de SolarWinds en 2020, y el exploit de día cero conocido como Log4j , cuyos efectos las empresas tardaron en subsanar hasta bien entrado el año 2022, los responsables de todo el mundo se han dado cuenta de hasta qué punto dependen del software que sustenta las organizaciones modernas.
«: Es fundamental que comprenda su cadena de suministro». Además, debe conocer todos los componentes de software de los que dispone, así como los de sus proveedores.”Nick Selby, vicepresidente del departamento de garantía de software de Trail of Bits
La cadena de suministro de software abarca, en esencia, prácticamente todo lo relacionado con el desarrollo y la adquisición de software, desde la seguridad de las aplicaciones y bibliotecas de código abierto hasta los productos de terceros. Esto incluye también las prácticas de seguridad y la infraestructura de terceros .
Impulsadas por la necesidad de reforzar la seguridad de la cadena de suministro de software, este año las listas de materiales de software (SBOM), es decir, las listas de inventario de los componentes de software presentes en los productos, han alcanzado nuevos niveles de adopción. Como ejemplo de la urgencia de actuar, el Decreto Presidencial n.º 2021 del presidente Biden, relativo a la mejora de la ciberseguridad nacional, exige a los proveedores que suministran software al Gobierno federal que incluyan una SBOM para todos y cada uno de los componentes de sus productos.
Conclusión: «Comprender las dependencias del software es realmente fundamental», afirma Nick Selby, vicepresidente del área de garantía de software de la consultora de seguridad informática Trail of Bits. «Debe comprender su cadena de suministro. «Y debe conocer todos los componentes de software de los que dispone, así como los de sus proveedores». Afirma que, si los proveedores externos no disponen de una SBOM completa, deben facilitar una lista de las dependencias de sus bibliotecas. Esto le indica a usted, como comprador, que ellos tienen cierto nivel de control sobre el código que se incluye en lo que están vendiendo.
El ataque informático a Uber puso en alerta a los responsables de seguridad de la información (CISO)
Los responsables de seguridad de la información (CISO) de todo Estados Unidos prestaron atención en octubre cuando el antiguo CISO de Uber (y antiguo fiscal federal) fue condenado por cargos federales de obstrucción a la justicia y encubrimiento de un delito grave conocido.
«[Guardar silencio sobre una filtración] no consiste simplemente en ocultar algo que le resulte vergonzoso a usted o a la empresa.»Mark Rasch, abogado y antiguo fiscal federal, del bufete Kohrman Jackson & Krantz
Las condenas se derivaron de los pagos que realizó a los atacantes, en virtud de un acuerdo de confidencialidad (NDA), en relación con una intrusión digital 2016 . El exdirector de seguridad de la información (CISO) de Uber, Joseph Sullivan, afirmó que los pagos formaban parte del programa de recompensas por la detección de fallos de Uber. Los fiscales federales afirmaron que dichas acciones constituían un soborno y un encubrimiento, y que Sullivan pidió a los piratas informáticos que mantuvieran en secreto su ataque y negaran haber robado datos. Cabe destacar que, en aquel momento, Uber seguía siendo objeto de una investigación de la FTC en relación con una filtración de datos anterior.
Muchos responsables de seguridad de la información (CISO) interpretaron el veredicto como una advertencia de que el Gobierno federal presentará cargos contra los CISO que no comuniquen una filtración de datos. La realidad es que el veredicto se centró en el encubrimiento de una infracción que, según determinó el Ministerio de Justicia, debería haberse revelado y abordado con mayor honestidad.
Conclusión: Los expertos jurídicos recomiendan que los CISO mantengan una documentación detallada sobre los incidentes de seguridad y se comuniquen por correo electrónico y otros canales como si los organismos reguladores, los jueces y los miembros del jurado pudieran llegar a leer dicha correspondencia.
Mark Rasch, exfiscal federal y abogado del bufete Kohrman Jackson & Krantz, aconseja a los directivos que sean sinceros en relación con cualquier fuga de datos o programa de recompensas por la detección de fallos en su empresa. En una entrevista en el podcast «Security Current» de , afirmó que, aunque una organización pueda optar por no notificar una violación de seguridad, los responsables deberían, como mínimo, demostrar que el proceso seguido para llegar a esa decisión fue válido.
[Lea también: Por qué los cazadores de fallos informáticos obtienen recompensas tan cuantiosas]
«No se trata simplemente de ocultar algo que le resulte vergonzoso a usted o a la empresa», afirmó. «Existe una decisión fundamentada sobre los motivos por los que se notifica o no una violación de datos». «También debe asegurarse de tomar sus decisiones con el asesoramiento de un abogado».
Se han agravado los riesgos relacionados con el firmware
En el artículo 2021, destacamos una serie de ataques de tipo « » dirigidos a los «» del firmware, que gestionan la interacción entre el hardware del ordenador y el sistema operativo. Las vulnerabilidades del firmware proporcionan un acceso envidiable a la empresa.
A principios de 2022, unos investigadores en materia de seguridad identificaron un ataque informático sofisticado conocido como « » (CosmicStrand) que permite a los atacantes infectar de forma encubierta el firmware. Además, a lo largo del año se produjeron ataques al firmware que aprovecharon fallos de « » ( ), que afectaron a más de 70 modelos de portátiles de Lenovo, así como vulnerabilidades de « » ( ), que pusieron en riesgo tecnologías operativas y dispositivos del Internet de las cosas (IoT).
Conclusión: «La seguridad de la capa de firmware suele pasarse por alto, pero constituye un punto único de fallo en los dispositivos y es uno de los métodos más sigilosos con los que un atacante puede comprometer dispositivos a gran escala», según un informe de « » () elaborado por el Departamento de Seguridad Nacional y el Departamento de Comercio de EE. UU.
Como mínimo, las empresas deben asegurarse de que cumplen los requisitos técnicos de las especificaciones más recientes de la Interfaz de firmware extensible unificada (UEFI) y de que cuentan con funciones como el arranque seguro de UEFI. Se pueden utilizar herramientas como CHIPSEC para llevar a cabo revisiones de seguridad del firmware como parte del proceso de diligencia debida previo a la adquisición de productos.
La incertidumbre económica se disparó
Aunque nadie puede saber con exactitud hasta qué punto se intensificarán los obstáculos a los que se enfrenta la economía estadounidense en el año 2023, el consenso general entre los economistas es que el país se encamina hacia una recesión o, como mínimo, hacia un período de crecimiento económico marcado por una gran inestabilidad. El fuerte aumento de los precios, los problemas en la cadena de suministro y las tensiones geopolíticas han frenado considerablemente el crecimiento.
[Lea también: 5 grandes errores que los CISO deben evitar durante una recesión]
La incertidumbre económica no puede sino ejercer presión sobre los presupuestos de seguridad, incluso cuando los riesgos relacionados con la ciberseguridad siguen aumentando. «Aproveche esta oportunidad para optimizar», aconseja Andy Ellis, antiguo director de seguridad de Akamai Technologies y actualmente socio operativo de YL Ventures.
Conclusión: Los responsables de seguridad deben aumentar la eficiencia en la medida de lo posible, pero deben hacerlo de la forma más eficaz y menos arriesgada posible. Sin embargo, si finalmente se les pide que recorten gastos, los CISO se verán obligados a encontrar áreas en las que hacerlo.
«Es doloroso, pero siempre se pueden encontrar formas de profundizar aún más», afirma Ellis. Una buena práctica para el CISO consiste en ponerse en contacto con sus homólogos y las partes interesadas y plantearles dos preguntas: ¿Qué estamos haciendo que, en su opinión, no tiene valor? ¿Y qué es lo que no estamos haciendo y que, en su opinión, sería sencillo y valioso?
Estalló una ciberguerra en toda Europa
Aunque las hostilidades cibernéticas en la guerra entre Rusia y Ucrania se han limitado en su mayor parte a Ucrania, con algunas excepciones relacionadas con infraestructuras occidentales, aún es demasiado pronto para afirmar si la situación se mantendrá tranquila en el frente digital. Sin embargo, si las hostilidades se extienden, es muy probable que comiencen en Internet. Los ciberataques rusos durante los primeros días de la guerra tuvieron como objetivo la infraestructura de comunicaciones esencial de Ucrania.
«: ¿Dispone de un buen plan de recuperación ante desastres?» ¿Mantiene una relación de colaboración con la oficina local del FBI? Si no es así, cultívelo.»Andrew Storms, vicepresidente de seguridad de Replicated
Incluso antes de la invasión de Rusia, el Departamento de Seguridad Nacional de EE. UU. advirtió a las organizaciones estadounidenses, especialmente a aquellas relacionadas con infraestructuras críticas, que estuvieran preparadas para ataques de denegación de servicio distribuido (DDoS) o incluso para ataques más destructivos. Estos ataques —o los preparativos clandestinos para llevarlos a cabo— podrían estar ya en marcha.
«Cuando se analiza en profundidad la actividad respaldada por Estados-nación, ya se trate de ataques físicos o cibernéticos, no se llega a comprender del todo lo que está sucediendo, porque quienes están al tanto no van a revelar lo que saben», afirma Andrew Storms, vicepresidente de seguridad del proveedor de plataformas Replicated. «No creo que sea prudente pensar que ya ha terminado, ni que no vayan a producirse ataques a gran escala».
Conclusión: Póngase manos a la obra para subsanar las brechas de seguridad. «Analice a fondo su situación de seguridad y busque los elementos esenciales que deberían estar implantados y que quizá aún no lo estén del todo», afirma Storms, de Replicated. «¿Dispone de un buen plan de recuperación ante desastres para ? ¿Mantiene una relación de colaboración con la oficina local del FBI? «Si no es así, cultívela».
Es un consejo excelente en cualquier momento, no solo en una época en la que aumentan las amenazas digitales. Aunque nadie sabe qué novedades en materia de seguridad traerá consigo el 2023 , los líderes que aprendan de las lecciones del 2022 estarán sin duda mejor preparados para lo que pueda deparar el futuro.