El fin de la mentalidad de «Nunca me pasará a mí»
Tómate la seguridad en serio
El final está cerca. Cada día se producen más violaciones de datos y se roba más información que nunca. Los vectores de ataque como la denegación de servicio distribuida (DDoS) y el ransomware están en aumento. El primero eliminó la mitad de Internet en octubre pasado cuando el servidor DNS global Dyn fue golpeado por un gran ataque DDoS.[1].
Ahora no es el momento de enterrar nuestras cabezas colectivas en la arena, aunque esa ha sido la táctica defensiva de muchos hasta ahora. Las empresas del Reino Unido deben sentarse y comenzar a tomar en serio los requisitos de seguridad de la información. Simplemente, ya no se puede ignorar. Esta conciencia debe ser un triple ataque de los medios de comunicación, la industria y el gobierno.
Multas mayores
Hay muchas advertencias severas en los medios, sin embargo, hasta ahora, los altos ejecutivos se han mostrado reticentes a tomarlas en serio. Entrada en vigor 25th Mayo de 2018, el Reglamento General de Protección de Datos (RGPD) podría ser el reglamento que les obligue a sentarse y tomar nota. El reglamento, respaldado por el Parlamento Europeo, el Consejo Europeo y la Comisión Europea, pretende fortalecer y unificar la protección de datos de las personas dentro de la Unión Europea (de la que, al menos en el futuro inmediato, seguiremos formando parte).
Las multas para aquellas empresas que incumplan la normativa ascenderán hasta los 20 millones de euros o el 4% de la facturación mundial anual del ejercicio anterior, el que sea mayor. Este aumento ha puesto con razón al GDPR en la agenda incluso del CEO más tecnófobo.
Un ADN de seguridad
La seguridad debe atravesar el ADN de cualquier organización que desee competir en estos tiempos digitales. Sin embargo, la mayoría de los fabricantes, en particular los que tienen experiencia en hardware, están tratando de incorporar tecnología cada vez más compleja además de sistemas heredados que ya son inseguros. La seguridad de la información ya no puede ser una ocurrencia tardía, sino que debe integrarse en el ciclo de vida del desarrollo de software (SDLC).
También es imperativo implementar la arquitectura de seguridad correcta y mantenerla actualizada. Tecnologías como las redes sociales y el Internet de las cosas (IoT) han cambiado el panorama empresarial más allá del reconocimiento en la última década y no hay razón para creer que este ritmo de cambio se detendrá repentinamente. En pocas palabras, el ritmo del cambio tecnológico y la complejidad que conlleva es el mayor enemigo de la seguridad en la actualidad. Siempre tenemos que ponernos al día con los malos a medida que encuentran nuevas formas de infiltrarse y ahora no es el momento de la complacencia.
La necesidad de simulacros de violación cibernética
La mayoría de las oficinas realizan simulacros de incendio con regularidad y las empresas deben tratar las infracciones cibernéticas de la misma manera. Para garantizar que todos los miembros de la empresa, desde la junta hasta el proverbial taller, comprendan lo que deben hacer para mitigar el impacto de una infracción, se deben ejecutar simulaciones.
La ciberseguridad debería ser responsabilidad de todos, no solo de la alta dirección. Una de las mejores tácticas es tener varios defensores de la seguridad dentro de la organización, para garantizar que esté actualizada sobre las tendencias emergentes de seguridad cibernética y la educación se ejecuta en toda la empresa. Sin embargo, también es importante que, en última instancia, alguien sea el responsable de la ciberseguridad.
Nadie quiere ser el siguiente
Como hemos visto durante los últimos 12 meses, todas las industrias son vulnerables a las brechas de seguridad cibernética. Los titulares negativos sufridos por personas como TalkTalk significan que nadie quiere ser el próximo CEO involuntario en ser atacado.
En esta época, las repercusiones de una infracción son de gran alcance. Ya sea en forma de pérdidas directas como robo, pérdidas indirectas como el impacto de la marca o pérdidas de productividad como una interrupción crítica del sistema. Una infracción cibernética puede poner de rodillas a una empresa al punto de no retorno.
En la linea de fuego
Ahora no es el momento de correr riesgos. Muchos todavía no se toman lo suficientemente en serio la amenaza de una infracción y es necesario que se ponga fin a la mentalidad de «nunca me sucederá a mí». En nuestra experiencia, no se invierte suficiente dinero en los lugares correctos, especialmente por parte de los responsables de la protección de la información personal y la propiedad intelectual valiosa, por ejemplo, los sectores de la salud, las finanzas y la defensa. Con regulaciones cada vez más estrictas, como el GDPR mencionado anteriormente, los equipos senior deben asumir la responsabilidad y saber que ellos mismos están en la línea de fuego si se produce una infracción.
Solo mediante la integración de expertos en seguridad en todo el SDLC y una cadena de suministro más amplia podemos abordar el creciente flagelo de las infracciones cibernéticas. El uso de especialistas en calidad puede ayudar a tapar cualquier laguna potencial desde el principio, limitando los riesgos de seguridad y privacidad desde el principio.
Por Stephen Morrow, consultor de seguridad principal en SQS
[1] https://www.theguardian.com/technology/2016/oct/26/ddos-attack-dyn-mirai-botnet