Las identidades no humanas se multiplican por 45, ¿tiempo de actuar?

La seguridad de las identidades y accesos es un mercado en expansión. Uno de los motivos es la propia transformación digital, “que hace que la interacción entre los humanos, las aplicaciones y los procesos se multiplique y dé lugar al crecimiento exponencial de las identidades”, dice Roberto Llop, vicepresidente para el sur de Europa de CyberArk. Explica el directivo que dar servicio a usuarios remotos, tanto internos como externos, que tienen que acceder a aplicaciones y entornos súper privilegiados, “es inmanejable con los antiguos paradigmas de seguridad”.

CyberArk ha presentado recientemente un informe sobre la seguridad de la identidad que deja claro que si las identidades digitales no se gestionan ni protegen adecuadamente pueden representar un riesgo de ciberseguridad significativo.

 

El informe, CyberArk 2022 Identity Security Threat Landscape Report, identifica cómo el aumento de las identidades humanas y de máquinas, que a menudo ascienden a cientos de miles por organización, ha generado una deuda de ciberseguridad relacionada con la identidad, exponiendo así a las empresas a un mayor riesgo.

Entre otras cosas, el informe recoge que:

• En España, el 57% de las máquinas o bots tienen acceso a datos y activos confidenciales (68% a nivel global)

• De media, los empleados españoles tienen alrededor de 25 identidades digitales (30 a nivel global) (1)

• Las identidades de las máquinas se han multiplicado por 45 y ahora superan a las identidades humanas.

• El 85% almacena secretos en múltiples lugares del entorno DevOps (87% a nivel global) y el 85% señala que los desarrolladores suelen tener más privilegios de los necesarios para sus roles (80% a nivel global).

Añade Roberto Llop que el año pasado “el 58% de las organizaciones en España priorizaron las inversiones en sostener, ampliar y dar continuidad al negocio frente a las inversiones en ciberseguridad, lo cual hace que, si ya había riesgos antes, estemos ante una situación de riesgos aumentados”.

El informe de CyberArk profundiza en la prevalencia y el tipo de ciberamenazas que enfrentan los equipos de seguridad y las áreas en las que perciben un riesgo elevado:

• El acceso con credenciales representó el área de riesgo número uno para los encuestados españoles (un 43% frente al 40% global), seguida de la escalada de privilegios (un 28% frente al 27% global), y el movimiento lateral (16% frente a 22% global). (2)

• Más del 75% de las organizaciones españolas encuestadas sufrieron entre uno y cinco ataques de ransomware en el último año (70% a nivel global).

• El 58% no ha tomado ninguna medida para proteger su cadena de suministro de software tras el ataque de SolarWinds (62% a nivel global) y la mayoría, un 56%, admite que el ataque a un proveedor de software supondría un ataque a la propia organización que no podrían parar (64% a nivel global).

La deuda de ciberseguridad

Primar las inversiones en áreas de negocio más que en ciberseguridad tiene un precio, y ese no es otro que el incremento del riesgo, la deuda de ciberseguridad: los programas y herramientas de seguridad han aumentado, pero no al ritmo de las implementaciones llevadas a cabo para respaldar sus operaciones y mantener el crecimiento.

Asegura Roberto Llop que hay una necesidad de implementar los controles necesarios para asegurar y gestionar los activos e informaciones más valiosas, que lleva a una mejor gestión de identidades. Añade que la situación de inestabilidad geopolítica introduce también riesgos en las infraestructuras críticas que se trasladan al mundo físico, y si bien el estudio recoge que el 54% de las organizaciones en España dicen que ya tienen controles suficientes como para asegurar sus infraestructuras críticas o sus activos críticos, “esto significa que el otro 46% no”.

El dato, malísimo, deja abierta una ventana de esperanza “ya que el informe también refleja el que más de la mitad de las organizaciones que van a recibir fondos de recuperación Next Generation afirman que van a invertir en ciberseguridad de manera importante, lo cual significa que no van a invertir solamente en tecnología, sino también en procesos y también en talento, que es uno de los déficits más importantes”.