La mitad de las personas del planeta son usuarios de Internet y, a pesar de ello, parece no afectarnos el hecho de que sigamos suspendiendo en una materia tan importante como es la ciberseguridad.
Ya en el año 2015, un informe del Índice Mundial de Ciberseguridad y Perfiles del Bienestar, situó a España con un índice de seguridad similar al de países como Egipto, Colombia, Dinamarca, Francia y Mauricio, por debajo en la clasificación mundial de países como Letonia, Suecia y República de Corea, among others.
La percepción de las empresas españolas es, often, volátil frente a las amenazas de índole informático. However, desde los datos y la información sensible, hasta el propio desarrollo de la actividad, se ven comprometidos en ataques -cada vez más habituales- cuyo último protagonista es el ransonware, un software malicioso que secuestra los datos del usuario, encriptándolos, para luego ofrecer la posibilidad de desencriptarlos previo pago en bitcoins. Es evidente que la alarma despertada por uno de estos programas maliciosos, conocido como wannacry, wannacrypt o wcrypt, ha expuesto a empresas y particulares frente a una responsabilidad que nos atañe a todos, la ciberseguridad.
Las principales amenazas provienen del ciberespionaje, la ciberdelincuencia, el ciberactivismo o hacktivismo, los cibervándalos o los ataques de Denegación de Servicio, que son aquellos que provocan el colapso de un servidor o sistema por el elevado número de peticiones de información. A esta lista, hemos de sumarle una serie de elementos que contribuyen, en mayor o menor medida, a incrementar la vulnerabilidad de los sistemas e infraestructuras de información a estas amenazas: el déficit en las pequeñas y medianas organizaciones, las actualizaciones de software, harmful advertising and, por último, user behavior.
Not for nothing, the National Center for the Protection of Critical Infrastructures (CNPIC), has the alert level at four, of high risk, of the five existing. In the 2016, the Ministry of the Interior verified 105.000 cyberattacks, five times more attacks than detected in the 2014.
One of the fundamental elements for mitigating the risk of suffering a cyberattack is closely related to user behavior, which at the business level, must translate into the way companies face the cybersecurity challenge in their networks, paying special attention to mobile devices and IoT (Internet of Things). Estos comprenden los dispositivos destinados a hacer nuestra vida más fácil y que no siempre cumplen los estándares de seguridad y fiabilidad que el resto de dispositivos conectados a nuestra red.
Para reducir estos riesgos que se multiplican día a día, es necesario realizar un análisis de nuestros sistemas de información, para conocer y detectar las posibles vulnerabilidades, implantando un conjunto adecuado de controles, políticas, protocolos, estructuras organizativas, equipos, buenas prácticas y funciones de software.
No es necesario tener altos conocimientos informáticos para saber que uno de los modos más sencillos para lograr el acceso a un sistema de información es el denominado hacking social, pues pequeñas acciones a las que podemos no estar dando importancia, how to try to access information from a USB drive that we just found on the parking lot floor, or playing a music CD that was being given away at the office entrance, are two crude examples, but significant (and even televisual, thanks to the series Mr. Robot) in the way that the system user assumes a security breach for themselves.
A year ago we already had a major scare with Cryptolocker, a type of ransomware that shook last May the main Spanish multinationals in communications and energy in Spain, the English health system and even almost affecting Russia's infrastructures.
Es responsabilidad de los administradores y el consejo de gobierno de las sociedades asumir que la protección de los sistemas de información estén preparados no sólo para evitar una fuga, pérdida o robo de información, sino para evitar un riesgo operacional -es decir, que se detenga totalmente la actividad de la empresa por tener que desconectar ordenadores y servidores para evitar un contagio- y un riesgo reputacional, que finalmente incida en la imagen que proyecte la empresa a los clientes y proveedores, y de su compromiso con la protección de sus datos.
In this regard, juega un papel esencial la implantación de un Sistema de Gestión de la Seguridad de la Información, conforme determina la ISO 27.001, at the four levels assumed in the preparation of the Security Manual, inspiring the system, the Procedures intended to ensure effective planning, operation and control of security processes, the Checklists and instructions that focus on the specific tasks and activities related to information security and the Records, intended to reflect objective evidence of compliance with the ISMS.
This is the opportunity for companies to take control not only of security in their information systems, but also of the image they project on the internet, what we today call their digital identity, which will be seriously affected if effective measures are not taken to pass in cybersecurity, a subject that, although we failed in June, we will still have it pending for September. Will we be able to pass it?
Fountain: Expansion