Cinco cosas sobre ciberseguridad que hemos aprendido en 2017

Ahora que el año casi ha llegado a su fin, podría ser útil recapitular algunos de los temas de ciberseguridad más importantes de 2017, con la vista puesta en fortalecer los sistemas para los próximos 12 meses. Trend Micro ha publicado su top cinco:

También puedes leer... La nueva Mafia El riesgo de los altavoces inteligentes Los cinco grandes mitos de las Brechas de Seguridad Consideraciones para la creación de un SOC Cómo utilizar la Dark Web para la inteligenciad de amenazas

El ransomware evoluciona

El ransomware lleva causando dolores de cabeza a las organizaciones desde hace años, pero en 2017 vimos cómo la amenaza era utilizada para causar el caos a una escala global. Los ataques WannaCry y Petya / NotPetya de mayo y junio pueden haber presentado objetivos, grupos de ataque y tácticas ligeramente diferentes, pero mostraron cómo el ransomware podría ser utilizado en combinación con exploits desarrollados por estados para propagarse a través de las redes. Bad Rabbit nos mostró otra variante sobre este tema, diseñada para infectar a las víctimas a gran escala usando ataques de abrevaderos.

Estos incidentes nos enseñaron la importancia de parchear las vulnerabilidades conocidas tan pronto como se disponga de una solución, y advirtieron lo que puede suceder cuando los gobiernos buscan socavar la seguridad de cientos de millones de usuarios mediante la investigación de vulnerabilidades en software popular.

Los ataques BEC cuestan millones de dólares

De todos los ciberriesgos que afrontan las organizaciones en la actualidad, Business Email Compromise (BEC) parece ser uno de los más fáciles de mitigar. Sin embargo, según el FBI, las pérdidas provocadas por ataques BEC en el período de octubre de 2013 a diciembre de 2016 superaron los 5.300 millones de dólares. Se prevé que la cifra llegará a los 9.000 millones el próximo año, a medida que las organizaciones continúen mostrando cuán expuestos están su personal y sus procesos a la ingeniería social.

Puede que no haya malware para detectar en la mayoría de las estafas BEC, pero con una mejor capacitación del personal y algo tan simple como asegurar que dos directivos de finanzas senior firmen las grandes transferencias de fondos, las organizaciones pueden aislarse mejor.

Las grandes firmas siguen cometiendo errores de novatos

En los últimos 12 meses se ha visto otra lista de organizaciones afectadas por brechas de datos e incidentes de privacidad. Yahoo, Uber y Equifax son ejemplos de empresas que tenían los recursos, pero no la cultura corporativa correcta, o la estrategia para mantener a raya a los hackers. Otras organizaciones se avergonzaron después de encontrar información sensible de clientes o propiedad expuesta en Internet a través de configuraciones erróneas de su base de datos en la nube, en ocasiones a manos de un tercero, como Verizon, Accenture, WWE e incluso el Departamento de Defensa de los Estados Unidos.

Estos incidentes nos dicen una vez más que las empresas todavía no están aplicando los conceptos básicos correctos en lo que respecta a la ciberseguridad, y no están extendiendo las políticas a los socios y contratistas.

El cumplimiento de GDPR aún no está a la altura

A medida que avanza el año, el reloj no parará hasta llegar al 25 de mayo de 2018, fecha en que entrará en vigor el Reglamento General de Protección de Datos (GDPR) de la UE. Es difícil recordar una ley con tantas implicaciones de ciberseguridad y privacidad para las empresas. Sin embargo, la falta generalizada de conocimiento y aceptación por parte de la sala de juntas sigue siendo una preocupación, a pesar de las multas potencialmente enormes por incumplimiento. Gartner estima que menos de la mitad de todas las empresas cumplirá totalmente con el reglamento antes de la fecha límite.

Una investigación de Trend Micro revela una inquietante falta de interés por parte de los altos ejecutivos, que luden su responsabilidad en el 57% de las empresas. Las empresas necesitan comprender mejor qué datos tienen, crear un plan de notificación de incumplimiento e invertir en las tecnologías más avanzadas para mantener a raya las amenazas.

Las vulnerabilidades siguen siendo el mayor talón de Aquiles

Las vulnerabilidades son una de las mayores amenazas a la seguridad a las que se enfrentan las empresas. No importa si están en el firmware del dispositivo IoT, las aplicaciones web, el software local o la infraestructura cloud; si hay una brecha explotable en el entorno informático podría ser el objetivo. Hemos visto organizaciones tan diversas como Equifax severamente afectadas por no parchear rápidamente fallos conocidos.

Desde Devil's Ivy hasta KRACK, se están desenterrando nuevas vulnerabilidades y métodos de ataque cada mes, algunos con enormes implicaciones para la seguridad de los sistemas que ejecutan muchas organizaciones. Los CISO deben asegurarse de tener un enfoque integral y automatizado para la administración de parches y la agilidad para responder de manera rápida y efectiva a cualquier amenaza descubierta recientemente.