"El costo del cibercrimen sería la tercera economía más grande del planeta"

Los gobiernos se enfrentan a la difícil tarea de proteger sus servicios de los ciberataques. Michael Mestrovich, director de seguridad de la información (CISO) de la empresa de seguridad de datos Rubrik, comparte sus pensamientos sobre cómo las organizaciones gubernamentales pueden "mejorar su postura cibernética".

Mestrovich, cuyos roles anteriores incluyen ser CISO en la Agencia Central de Inteligencia, dice que es vital que todas las organizaciones y entidades gubernamentales "tomen su postura de defensa cibernética".

El riesgo de ciberataques es algo a lo que se enfrenta todo gobierno. Es una amenaza creciente en un mundo turbulento, ya que tanto los delincuentes informáticos como los estados corruptos trabajan para socavar la infraestructura nacional vital.

"Los estudios que he visto muestran que el cibercrimen está en camino de convertirse en un negocio de US$10,5 mil millones para 2025, lo que la convertiría en la tercera economía más grande del planeta".

Esto haría que el costo anual del delito cibernético global fuera mayor que cualquier economía del mundo, excepto Estados Unidos y China, y Mestrovich dice que la amenaza solo crecerá como resultado de lo que él llama un "entorno rico en objetivos".

Cybersecurity Ventures espera que los costos globales del cibercrimen crezcan un 15% por año durante los próximos cinco años, alcanzando los $10,5 mil millones de dólares anuales para 2025, frente a los $3 mil millones de dólares de 2015. Esto representa la mayor transferencia de riqueza económica en la historia, pone en riesgo los incentivos para innovación e inversión, es exponencialmente mayor que el daño infligido por los desastres naturales en un año, y será más rentable que el comercio global de todas las principales drogas ilegales combinadas.

"Estamos cada vez más conectados como sociedad. Hay tanta infraestructura de TI por ahí, y tanta gente depende de la tecnología de la información en el curso de su vida diaria", dice.

Otros factores que contribuyen al crecimiento del delito cibernético incluyen el aumento de los ataques de ransomware, donde los delincuentes informáticos lanzan ataques con el objetivo de retener los datos y los sistemas como rehenes para un pago, y la proliferación de criptomonedas que hacen que rastrear el dinero sea casi imposible.

Otro desafío importante es que no hay suficientes profesionales de ciberseguridad para igualar la escala del problema, y Mestrovich comparte que hay aproximadamente 3,2 millones de trabajos de ciberseguridad sin cubrir en todo el mundo, una brecha que no se puede cerrar rápidamente.

"Así que tienes mucha tecnología susceptible y no necesariamente muchos expertos cibernéticos para protegerla. Esto crea una vulnerabilidad y los actores de amenazas se han lanzado para aprovecharla".

Dada la escala de la amenaza y la escasez de habilidades, Mestrovich dice que los gobiernos deben coordinar la respuesta global. Se han organizado reuniones internacionales para ayudar a los gobiernos a compartir inteligencia, y Mestrovich dice que los gobiernos también están tomando medidas para descubrir cómo compartir recursos limitados de seguridad cibernética.

"[Los gobiernos preguntan] ¿cómo agrupamos nuestros recursos para proporcionar una cobertura cibernética general para muchas organizaciones? ¿Ofreciendo servicios de ciberseguridad como un servicio que otras organizaciones pueden comprar? Ese es un modelo. Publicar libros de jugadas para que las organizaciones sepan directamente cómo implementar buenas prácticas de ciberseguridad es otra vía".

Poner en orden tu propia casa en línea

Los gobiernos también necesitan tener su propia ciberseguridad a la altura, dado que los datos son cada vez más vitales para los servicios públicos.

En los EE.UU., el presidente Joe Biden firmó una orden ejecutiva en mayo de 2021 que tiene como objetivo mejorar la seguridad cibernética de la nación al eliminar las barreras para modernizar los estándares de seguridad cibernética en todo el gobierno federal. También especificó la creación de un playbook estándar para responder a incidentes cibernéticos y medidas para permitir que los gobiernos y las organizaciones del sector privado compartan mejor información sobre amenazas.

Hoy no hay una lista de verificación de seguridad cibernética simple a seguir. Construir una seguridad adecuada requiere "mucho compromiso de recursos y mucho compromiso de tiempo" para hacerlo bien. "No se trata de cortar y pegar, ya que cada organización ha creado algo un poco diferente. Tienes que asegurar una infraestructura a medida, por lo que no es una tarea trivial. Pero la seguridad es, en última instancia, la mejor defensa".

Mestrovich enfatiza que es importante que las organizaciones se centren en lo que podrían parecer los conceptos básicos de la ciberseguridad. "Estos conceptos básicos son cosas como no ejecutar hardware y software al final de su vida útil y tener una contabilidad precisa de toda la tecnología de la que es responsable: teléfonos, computadoras portátiles, servidores, conmutadores de red".

Una vez que una organización tiene una imagen completa de los activos que tiene, puede asegurarse de que los activos estén parcheados con un nuevo software de seguridad y calcular el alcance de la exposición a nuevas vulnerabilidades.

Otro elemento clave es lo que se denomina "arquitectura Zero Trust". Mestrovich explica que esto significa pensar en cómo equilibrar lo que él llama fricción (autenticación de dos factores y restablecimiento de contraseña, por ejemplo) y la usabilidad en los sistemas organizacionales. Pero, Zero Trust realmente significa que no debemos esforzarnos exclusivamente por la facilidad de uso.

"Los datos son la joya de la corona"

Aunque la ciberseguridad en todas las partes de una organización es vital, la capa crítica de protección tiene que estar alrededor de los datos, ya que, en última instancia, eso es lo que buscan los piratas informáticos, dice Mestrovich.

"No digo que la defensa en profundidad [en una organización] sea mala; la defensa en profundidad es increíblemente importante. Pero debe incluir la defensa de sus datos, porque esas son las joyas de la corona, y muchas organizaciones no han llegado a proteger sus datos. Debe haber un esfuerzo concertado para implementar protecciones para que los datos se cifren y se respalden en un sistema de archivos inmutable. Eso es lo que la gente necesita entender: los malos están detrás de los datos".

Algunas organizaciones han tardado en darse cuenta de esto, dice. "Si eres una gran organización gubernamental. y, por ejemplo, está procesando registros de impuestos, entonces sabe cuán valiosa es esa información y está haciendo todo lo posible para proteger esa información. Pero creo que otras organizaciones recién se están dando cuenta del valor de los datos que tienen y se están dando cuenta de lo que es de misión crítica para ellas. No creo que la gente haya llegado al mismo lugar mentalmente en todos los ámbitos".

De hecho, la mayoría de las organizaciones gubernamentales no saben dónde está su información vital, según Mestrovich, dada la variedad de formas en que las personas trabajan en la era del trabajo flexible: en unidades compartidas y locales y en dispositivos personales y laborales.

"La gente es ingeniosa. Descubrieron todo tipo de formas diferentes de usar las aplicaciones, lo que significa que obtienen datos, los manipulan, pueden devolverlos, pueden almacenarlos en su disco personal local. Por lo tanto, los datos de una organización se mueven por todas partes, y las personas son ingenuas si creen que saben dónde están todos sus datos".

Fuente: GlobalGovernmentForum

Suscríbete a nuestro Boletín