Llegamos a ustedes gracias a:



Noticias

Microsoft y Marsh presentan estudio sobre la ciberseguridad en pandemia

[29/01/2021] El 2020 fue el año del despegue de los negocios electrónicos. La pandemia ocasionó que los avances en transformación digital se tuvieran que acelerar, a tal punto que los especialistas señalan que en pocos meses las empresas tuvieron que avanzar lo que tenían planeado hacer en años. Fue el lado positivo de estos malos tiempos.

Pero junto con la digitalización llegan los peligros inherentes a ella. Las ciberamenazas tenían entonces más campo para atacar y eso ocasionó que muchas organizaciones recién llegadas al ciberespacio -o con poca experiencia en el comercio electrónico- fueran blanco de los ataques de los cibercriminales. Hay estadísticas globales que indican cuán fuerte ha sido el fenómeno, pero lo que Microsoft y Marsh (empresa de corretaje de seguros y asesoría en riesgos) mostraron hace unos días fue el impacto del fenómeno desde la perspectiva de los países latinoamericanos.

Mediante una encuesta a más de 640 empresas de 18 países -entre los que destacaron Brasil, Colombia, México y Perú- y 20 industrias se determinaron cuáles son las reacciones que han mostrado las organizaciones latinoamericanas ante estas nuevas amenazas. La conferencia en la que se realizó la presentación estuvo dirigida por Edson Villar, lider regional de consultoría en riesgo cibernético de Marsh y Marcello Zillo Neto, chief security advisor de Microsoft Latinoamerica.

Reacciones en pandemia

El estudio "Estado del riesgo cibernético en Latinoamérica en tiempos de COVID-19 nos refiere a las acciones que se tomaron no solo en la región latinoamericana en conjunto, sino a lo que hicieron las organizaciones peruanas en específico.

Por ejemplo, en cuanto a permitir que los trabajadores de las empresas laboraran en sus casas con sus propios equipos, solo el 26% de las empresas peruanas respondieron que ninguno de sus trabajadores tomó esta iniciativa. Eso quiere decir que el 74% de las empresas tuvieron a un porcentaje de sus trabajadores laborando desde casa con sus propios equipos, aunque los porcentajes variaron. El grupo mayoritario (46%) fue el que dijo que menos del 25% de sus trabajadores realizaba sus tareas de esta manera.

Otra de las preguntas que se presentaron en el estudio fue la relacionada al porcentaje del presupuesto de TI que se dedica a la seguridad de la información o ciberseguridad. La gran mayoría (60%) dedica menos del 10% a este objetivo. La buena noticia es que, en términos generales, el Perú gasta más que el promedio latinoamericano.

¿Y qué cambios ocasionó la pandemia sobre este presupuesto? El 20% de las empresas peruanas señaló que este porcentaje se ha reducido -el doble que el promedio de la región-, el 42% señala que se ha mantenido igual -menos que el promedio de la región-, mientras que solo el 20% señala que se ha incrementado -también menos que el promedio de la región-.

"Ahora que las empresas están más expuestas por el trabajo remoto y el uso de dispositivos personales, resulta preocupante que solo el 24% haya incrementado su presupuesto de ciberseguridad a raíz de la pandemia y que el 10% lo haya reducido, a pesar del notorio incremento de los ciberataques, detalló Villar, al hablar de América Latina.

Como consecuencia, afirma el estudio, una de cada tres empresas (31%) latinoamericanas percibe un incremento de los ciberataques; pero si la cifra es solo del Perú, ésta se incrementa hasta 49%. Es decir, prácticamente la mitad de las empresas peruanas han percibido un ataque durante la pandemia. Y, a nivel de la región, como era de esperar, la principal vertical atacada fue la Banca (52%), seguida de Energía e hidrocarburos (50%), Otras instituciones financieras (44%), Minería (44%) y Transporte ferroviario y marítimo (43%).

El principal medio de ataque fue la ingeniería social, específicamente el llamado phishing, tanto en Perú (21%) como en América Latina (29%), seguido del malware y de ataques a las aplicaciones web. También fueron mencionados los ataques a las aplicaciones móviles, la fuga de información, la denegación de servicios, entre otros.

Otro dato interesante del estudio es la forma en que ha variado el presupuesto de seguridad de la información o ciberseguridad. En el caso del Perú, este se ha incrementado para la seguridad del acceso remoto (51%), la seguridad en la nube (44%), la concientización y el entrenamiento (41%), el monitoreo de eventos de seguridad (41%) y la respuesta ante ciberincidentes (41%).

Asegurarse

Como muchas cosas en la vida, para este tipo de incidentes -los ciberincidentes- existen seguros: los seguros de riesgo cibernético. Sin embargo, la mayoría de las instituciones no cuentan con ellos. En el caso de América Latina, solo el 17% de las organizaciones encuestadas contaban con este tipo de seguros. La buena noticia es que el Perú se encuentra por encima de este promedio, llegando al 23%.

Y a nivel de la región, de entre los que tienen este seguro, se puede encontrar a la Banca (39%), otras instituciones financieras (38%), retail/wholesale (36%), aviación/aeroespacial (25%) y manufactura/automotriz (24%).

Sin embargo, la percepción de su importancia se ha incrementado o, al menos, mantenido igual, en los últimos meses en la mayoría de las organizaciones, exceptuando a las de la banca, donde se ha reducido 4%, y la manufactura y automotriz, donde disminuyó aún más: 11%.

Eso en cuanto a los seguros, pero en el campo de Microsoft se sostuvo que dado que la pandemia ha impulsado la adopción de esquemas de trabajo remoto, las empresas deben asegurarse de implementar los controles necesarios para trabajar en esta modalidad y mitigar los principales riesgos, así como recordar que no existen tecnologías o procesos que eliminen por completo el riesgo cibernético, pero que sí se puede aumentar la conciencia de los empleados para un seguro manejo de información confidencial y cómo identificar amenazas y detectar oportunamente los ciberataques. 

"La seguridad es nuestra prioridad número uno, por lo que invertimos mil millones de dólares por año, y analizamos diariamente 8 billones de señales y ataques provenientes de diferentes fuentes. Ahora más que nunca, nuestra recomendación para proteger a las empresas incluye una estrategia de seguridad integrada que utiliza inteligencia en la nube para proteger a los usuarios, dispositivos y datos, indicó Marcello Zillo Neto.

En el 2019, Microsoft bloqueó más de 13 mil millones de correos maliciosos y sospechosos, de los cuales más de mil millones fueron URLs configuradas con el propósito de lanzar un ataque para robar credenciales de acceso. Los ciberdelincuentes están aprovechando el interés de la gente en saber más sobre la COVID-19 para especializar sus ataques con la identidad como su objetivo central.

Además, se pueden seguir ciertas recomendaciones de seguridad importantes que deben priorizarse en vista del escenario actual de transformación digital y ciberataques:

  • Habilitar la autenticación multifactor (MFA, por sus siglas en inglés) en todas partes, proteger la identidad -que es el 'nuevo perímetro'- y asegurar la seguridad en el acceso remoto (always on VPN).
  • Utilizar la seguridad en la nube para proteger todos los entornos de nube pública, privada e híbrida.
  • Aprovechar las características de inteligencia artificial y aprendizaje automático para monitorear periódicamente los sistemas de información.
  • Establecer una validación continua del nivel de seguridad de los dispositivos en su red (antimalware, EDR, XDR).