La columna de Pamela Gidi: Cibersálvese quien pueda

Un rescate de sesenta y un millón de euros pagaderos en bitcoins, exigía públicamente a The Coca Cola Company hace varias semanas y vía su cuenta en Telegram, el grupo de hackers rusos auto-denominado “Stormus”, quienes fanfarroneaban, «esta empresa fue la primera víctima». El caos volvería a repetirse, aunque esta vez a nivel país y vía otro grupo también ruso, auto-denominado “Conti”. Este último irrumpió en Costa Rica, nación que se vio y sigue viendo severamente afectada por “ransomware”, sustracción de información sensible y afecciones a portales, sistemas y bases de datos de numerosos ministerios, paradojalmente con el de Tecnología y Telecomunicaciones incluido, totalizando una lista sobre treinta instituciones públicas. Estimaciones del FBI revelan que este último cartel de hackers, habría cosechado más de 150 millones de dólares norteamericanos, vía extorsión a más de mil cibervíctimas.

Hoy, internet representa una herramienta indispensable, aunque tristemente y a la vez, una poderosa amenaza, al ser un atractivo y rentable blanco para ciberdelincuentes. Ciertamente, allí donde existe valor, existe hambre para el delito.

En Chile y durante 2021, se registró un aumento exponencial de ciberataques, siendo el sector financiero y aquel del llamado “retail”, los principales afectados. Buena parte de las empresas medianas fueron atacadas por el denominado BEC - business email compromise -, diseñado específicamente para cada víctima potencial de correo electrónico y que según clasificación del FBI, varía entre facturas falsas, suplantación del CEO, cuenta comprometida, suplantación de identidad de abogados, o bien, robo de datos.

Las materias de ciberseguridad dejaron de representar un problema tecnológico, decantando en uno con innegable condición organizacional. Y entonces, es el gobierno corporativo quien debe levantar su relevancia, visar una estrategia, conformar un equipo competente a cargo y facilitar aquellos recursos concordantes con tan magno desafío.

¿Están hoy las empresas de Chile y sus directorios, preparados para hacer frente a los crecientes riesgos asociados con ciberseguridad?

Recurrente error es aquel que da cuenta con centrarse únicamente en ciberseguridad propia, descuidando información y análisis de estándares de proveedores y terceras partes, todas las que intervienen en la operativa organizacional. La cadena de suministro es tan fuerte como tan seguro es su eslabón más débil. El rol de las personas es clave. Ciertamente, en todos los ciberataques existe factor antrópico.

Se trata de una pelea desigual, en la que el crimen organizado requiere sólo de una puerta débil y/o abierta para acometer una fechoría, mientras la organización requiere defender inimaginable número de las mismas. Y así, ninguna empresa está a salvo, razón por la que además de prevenir, procede pragmatismo y esfuerzos para elevar capacidades de respuesta y recuperación.

Las tendencias más relevantes en ciberseguridad dan cuenta con: a) inteligencia artificial, empleada en defensa y detección de ataques en tiempo real; b) uso de la estructura de datos denominada “blockchain”, en orden a garantizar autenticidad en operaciones y transacciones gracias a un histórico irrefutable de información; y c) crecimiento en uso del modelo “zero trust”, el que plantea desconfianza plena, salvo cuando exista una sólida validación de la identidad del usuario. A nivel de amenazas, por el contrario, destacan el citado “ransomware” o secuestro de datos, las vulnerabilidades generadas por internet de las cosas (IoT) y el teletrabajo, así como importantes ataques a las cadenas de suministros.

Y entonces, sabiendo que durante este 2022 se proyectan aún más ciberataques - qué mejor muestra que el reciente hackeo de ultra sensible data alojada en el Servicio Electoral de Chile y la explosiva alza de primas de seguro ante ciberataques -, conviene analizar si la ciberseguridad organizacional destaca en estas cinco prácticas que garantizaron resiliencia empresarial durante 2021, y que un reciente estudio de una conocida empresa tecnológica recogió luego de entrevistar a dos mil seiscientas empresas: a) actualización tecnológica proactiva; b) tecnología bien integrada; c) oportuna respuesta a incidentes; d) pronta recuperación ante desastres; y e) detección precisa de amenazas.

Según el mismo estudio referido, treinta y nueve por ciento de las tecnologías asociadas con seguridad y utilizadas por las organizaciones, están obsoletas. Luego, una estrategia de actualización de tecnología proactiva, parece más relevante que nunca. No sorprendentemente aquellas organizaciones con arquitecturas basadas en la nube, tienen más del doble de probabilidades de actualizarse, que aquellas con tecnologías locales más obsoletas. Es más, organizaciones con tecnologías integradas, gozan de siete veces más probabilidades de lograr altos niveles de automatización de procesos y también cuentan con capacidades de detección de amenazas, cuarenta por ciento más sólidas. Más del setenta y cinco por ciento de los programas de operaciones de seguridad que no cuentan con recursos sólidos de personal, aún pueden lograr grandes capacidades vía altos niveles de automatización. Ésta, duplica el desempeño del personal menos experimentado.

Es mucho lo que debe pulirse, siendo fundamental la toma de conciencia de directivos para la aprobación de presupuestos de inversión y gasto, consistentes con el tamaño organizacional y con las cifras a nivel mundial de ciberdelitos, las que - ¿sorprendentemente? - hoy superan las de aquellos turbios ingresos por tráfico de estupefacientes.

* La autora es ingeniera comercial, ex subsecretaria de telecomunicaciones