Para Sean Zadig, director de seguridad de la información de Verizon Media, la COVID-19 ha impuesto todo tipo de tareas urgentes en materia de ciberseguridad, desde la defensa de las redes de la empresa frente al aumento de los ataques de piratas informáticos hasta la formación de la plantilla —que trabaja en su mayor parte a distancia— sobre las estafas de phishing relacionadas con « ».
La empresa, que gestiona marcas como Yahoo, Engadget y TechCrunch, constató que, para lograr que unos empleados repartidos por todo el mundo prestaran más atención a la seguridad, se necesitaba algo más atractivo que los habituales seminarios web y las preguntas frecuentes sobre prácticas seguras. Así pues, el personal de seguridad, conocido internamente como «Los Paranoicos», impulsó una competición a nivel de toda la empresa sobre las mejores prácticas de seguridad.
El grupo creó un panel de control que los responsables podían utilizar para realizar un seguimiento del uso que hacían los empleados del software de gestión de contraseñas y para comparar su rendimiento con el de los equipos de otros responsables. El interés por el concurso fue tan grande que algunos directivos contrataron a personal de seguridad para ayudar a los miembros de los equipos a aumentar su uso. Esa atención adicional fue «inesperada», afirma Zadig.
Para muchas empresas, hacer frente a la pandemia ha reportado algunos beneficios inesperados en materia de ciberseguridad. La seguridad de los sistemas digitales siempre se ha considerado importante, pero en muchas organizaciones es una prioridad más entre otras muchas —y no siempre una de las principales—. Los equipos de ciberseguridad siguen luchando por conseguir recursos y la atención de la dirección, y los departamentos de tecnologías de la información y de negocios han considerado a menudo la seguridad como un obstáculo para el buen funcionamiento y la eficiencia de las operaciones.
Urgencia general en materia de ciberseguridad
Hoy en día, con el personal trabajando a distancia y los piratas informáticos intensificando sus ataques, las empresas están abordando los problemas de seguridad con mayor seriedad, tanto a nivel organizativo como cultural. Los altos directivos están prestando mayor atención a garantizar que las iniciativas de seguridad de se tramiten por vía rápida, y los equipos de seguridad están encontrando nuevas oportunidades para colaborar con otros departamentos.
La COVID-19 ha tenido incluso el beneficio inesperado de contribuir a salvar algunas de las diferencias institucionales entre los equipos de TI y de seguridad. En una encuesta de July 2020 realizada por la Asociación de Seguridad de Sistemas de Información (ISSA), un tercio de las empresas afirmaron haber experimentado una mejora significativa en la coordinación entre los responsables de seguridad, el departamento de TI y otros directivos de la empresa a raíz de la pandemia.
«Las empresas están empezando a comprender que la seguridad es una cuestión de gestión de riesgos que afecta a toda la organización.»Larry Clinton, presidente de la Alianza para la Seguridad en Internet
«Históricamente, la gente ha considerado la ciberseguridad como un problema técnico: que hay algo que no funciona bien en algún componente del sistema», afirma Larry Clinton, presidente de la Alianza para la Seguridad en Internet de la Asociación de la Industria de la Información ( ), una organización sectorial con sede en Washington, D.C. «Las empresas están empezando a comprender que se trata de algo mucho más amplio». «Se trata de una cuestión de gestión de riesgos que afecta a toda la empresa».
La pandemia también ha llevado a algunas empresas a conceder a los CISO un mayor acceso a los máximos responsables de la empresa. En una gran compañía de seguros, según Keri Pearlson, directora ejecutiva de un consorcio de ciberseguridad de la MIT Sloan School of Management, el CISO pasó de rendir cuentas ante el director de sistemas de información a hacerlo ante el director de operaciones. Esto permitió al responsable de seguridad colaborar más estrechamente con los responsables de Recursos Humanos para fomentar de forma más generalizada la concienciación sobre la ciberseguridad entre los empleados. Además, permitió al responsable de seguridad de la información (CISO) colaborar con el personal de operaciones y reforzar las medidas de seguridad con los numerosos proveedores de la empresa.
[Véase también: Seguridad de la cadena de suministro: cómo debe ser una buena práctica.]
En el banco digital brasileño C6, que está experimentando un rápido crecimiento, el director de seguridad de la información (CISO) ha obtenido recientemente acceso directo al director general y ya no depende del director de tecnología de la empresa, Nelson Novaes. Según Novaes, este cambio ayudó al director de seguridad de la información (CISO) a garantizar que el máximo responsable diera ejemplo de buenas prácticas, como el uso de la biometría facial para acceder a los sistemas de la empresa.
Ponerse al día en una crisis
A lo largo de los años, una gran cantidad de datos ha puesto de manifiesto el aumento del coste de los riesgos de ciberseguridad: las pérdidas globales de las empresas a causa de la ciberdelincuencia superaron el billón de dólares en 2020, según un informe de McAfee titulado « » (). He aquí la cruel ironía: la mayor parte de esos costes podrían reducirse drásticamente con medidas sencillas, como mantenerse al día con los parches de seguridad. Cuatro de cada 10 empresas que sufrieron una filtración de datos en 2019, por ejemplo, ya eran conscientes de la vulnerabilidad antes de que se produjera, según una encuesta del Ponemon Institute titulada « » (); el 60 % ya disponía de los parches necesarios, pero no pudo instalarlos a tiempo.
Con la pandemia, estos peligros no han hecho más que multiplicarse, y cuestiones que llevaban mucho tiempo desatendidas, como garantizar que los trabajadores a distancia puedan acceder de forma segura a las redes corporativas, se han vuelto más difíciles de posponer.
Según un informe sobre amenazas elaborado por CrowdStrike, durante los primeros seis meses de 2020, los piratas informáticos lanzaron más intentos de intrusión en redes corporativas que en todo el año 2019. Las amenazas también están mucho más dispersas que antes. Los piratas informáticos han dirigido sus ataques, tanto a los empleados como a los socios de la cadena de suministro de , mediante sofisticados correos electrónicos de phishing relacionados con la COVID-19 y ataques de malware. Entre ellas se incluyen listas falsas de casos de infección en el barrio de una persona, supuestamente enviadas por los Centros para el Control y la Prevención de Enfermedades; páginas web con malware incrustado que venden tarjetas falsas de exención del uso de mascarilla; y peticiones del jefe para ayudar a alguien que lo necesita, por citar algunos ejemplos.
«La seguridad abarca ahora muchos más ámbitos», afirma Clinton. «Su departamento jurídico debe incluir en los contratos los procedimientos de seguridad adecuados para garantizar que sus socios no se vean expuestos a riesgos.» «Sus auditores tienen que consultar con sus auditores, y así sucesivamente».
Planificar el futuro
La pandemia también ha contribuido a acelerar la implantación de nuevas herramientas de seguridad, como los sistemas de «cero confianza» , que suelen exigir a los empleados que utilicen dos métodos de autenticación (como una contraseña y un código único en el móvil) al acceder a los sistemas de la empresa. Un informe de Forrester, titulado « » (), disponible en October 2020 , reveló que el 75 % de los responsables de la toma de decisiones en el ámbito de las tecnologías de la información tenía previsto acelerar o iniciar la transición hacia un modelo de seguridad «zero trust» debido a la pandemia, y casi el 40 % afirmó haber puesto en marcha un proyecto piloto de «zero trust» en 2020.
«Si me hubiera preguntado hace un año: “¿Podría implantar una red de confianza cero si se produjera una pandemia y la empresa tuviera que realizar el cambio en unas pocas semanas?” «Yo habría dicho: “No, eso es imposible”», afirma Kevin Curran, profesor de ciberseguridad en la Universidad de Ulster, en Irlanda del Norte.
Una colaboración más estrecha entre los equipos de TI, de negocio y de seguridad también ha atraído a profesionales con perfiles poco habituales al ámbito de la seguridad. Una importante empresa de servicios financieros tomó la inusual decisión de contratar a un experto en marketing sin experiencia en el ámbito tecnológico para el nuevo puesto de «evangelista de la ciberseguridad», afirma Pearlson, del MIT Sloan. Su misión: encontrar formas más eficaces de transmitir por qué todo el mundo debería preocuparse por la ciberseguridad, especialmente al trabajar desde casa durante una pandemia.
[Lea también: Cómo convertir a sus trabajadores a distancia en defensores de la seguridad]
Con un simple cambio, la directora de marketing ha sustituido el término «ciberseguridad» por «protección de datos» en sus presentaciones, vídeos y correos electrónicos, con el fin de replantearlo como algo que aporta un valor claro a la empresa, y no solo como un concepto abstracto.
«La pandemia ha puesto de manifiesto la necesidad de que todo el mundo desempeñe un papel en la ciberseguridad y se sienta capacitado para actuar», afirma Pearlson. «Se trata de cambiar las mentalidades y las actitudes».
