España terminó 2015 siendo el tercer país de EMEA que más ataques de malware recibió, según se desprende de diversos informes.

Según estas mismas fuentes, las empresas tardan entre uno y seis meses en darse cuenta de que se ha producido un ataque y en ese margen  es mucha la información que puede perderse.

Y no es de extrañar, ya que el grado actual de penetración de las tecnologías de la información en la vida de las personas y la tendencia a que se aún mayor (wearables, Internet de las cosas, coches inteligentes, etc., etc.) unido al abaratamiento de los costes de las comunicaciones, almacenamiento y procesamiento hacen que las ciberamenazas hayan pasado a primera línea en cuanto a las preocupaciones de los usuarios de las mismas, asegura Ricardo Barrasa, presidente ISACA Madrid, partner de DatacenterDymamics en la 2ª edición de Mission Critical Security Summit (MCSS), el foro exclusivo para conocer la evolución del riesgo y la gestión de la seguridad de las infraestructuras críticas y los sistemas T que tendrá lugar el 7 de abril en Kinépolis, Madrid.

Teniendo en cuenta los datos anteriores, ¿se pueden detectar vías de ataque a la seguridad en las empresas? Para Silvia Barrera, Inspectora de la Brigada de Investigación Tecnológica del Cuerpo Nacional de Policía, “los cibercriminales pueden tener varías vías o vectores de ataque, pero destacaría dos principales: la primera tiene un componente técnico basado en la detección de vulnerabilidades en los diferentes sistemas informáticos de la empresa: malas configuraciones, errores de programación, contraseñas débiles, sistemas desactualizados, etc. Por ello, se debe poner énfasis en el testeo periódico y en su caso, detección, de los posibles fallos en los sistemas informáticos y de comunicaciones.

“Por otra parte- continúa Barrera- existe el componente humano, muy vulnerable a esos ataques, ya sea por la falta de concienciación, conocimiento de los riesgos o por la propia intervención de la ingeniería social. Todos los empleados de una empresa o institución deben ser cautelosos con los peligros y las rutinas personales de su navegación en la Red y la utilización de propios servicios de la empresa. Tener bases de datos abiertas, la utilización selectiva de los correos corporativos y utilización de redes sociales en sesiones compartidas, la sobreexposición, etc. pueden poner en riesgo su seguridad”

¿Qué medidas implementar llegado el caso de un ataque?

La experta en ciberseguridad y ponente en la sesión de MCSS considera que ante todo, “conviene tener unos protocolos preestablecidos que permitan la detección temprana y saber de qué tipo de incidente se trata y del alcance. El tiempo corre en nuestra contra, apunta Silvia. Se han dado casos en los que el inicio de un ataque se ha producido seis meses antes de ser detectado y que, por consiguiente, la fuga de información es ya incalculable”.

Silvia Barrera cree que conociendo el estado inicial de la situación conviene tomar las primeras actuaciones, siempre bajo una planificación, teniendo claro a quiénes deben ir dirigidas las notificaciones y comunicaciones del ataque, junto con la elaboración de una auditoría interna que permita concretar la exactitud del ataque y los datos técnicos asociados para que nos permitan, si fuera posible, la identificación del autor/es. Es necesario completar todas estas indagaciones con una auditoría completa y la correspondiente valoración de los resultados y consecuencias para la empresa

Empresa privada-entidad pública, ¿son diferentes las medidas de seguridad?

Los protocolos de seguridad no son los mismos en una empresa privada que en un organismo público. Depende del objeto social, objetivos, evolución, crecimiento, presupuesto, concienciación e incluso de los recursos materiales y humanos de los que disponga. Para Barrera, “desde luego, puede ser muy diferente a las estrategias que pueda implementar una institución pública que defienda, por ejemplo, la red ferroviaria o aeroportuaria de un país. No obstante, las medidas a implementar, a diferente escala, deben ser siempre muy similares adaptadas a la singularidad de cada caso y el tipo de ataque.

¿España está preparada para un ciberataque?

Los expertos consultados por DCD consideran que los datos, las notificaciones y las denuncias recibidas ponen de manifiesto que somos un objetivo para los atacantes, “aunque por el momento, no somos prioritarios, por lo menos, a nivel público”, matiza Silvia Barrera.

Se están dando casos preocupantes en pequeñas, medianas y grandes empresas pero en cualquier momento, los objetivos e intereses de un atacante pueden volverse contra los de un país en concreto. “Si hablamos de ataques a infraestructuras críticas como, puede ser por ejemplo, una planta de suministro eléctrico, si lo llegamos a ver algún día, veremos si las estrategias propuestas a nivel nacional se traducen en planes operativos efectivos y eficientes. Es cuestión de tiempo”, concluye Barrera.

ISACA Madrid es optimista y rompe una lanza en favor de las TI, ya que como considera Ricardo Barrasa “es necesario avanzar en medidas que nos permitan confiar en su utilización y que no acaban provocando rechazo a la tecnología porque los usuarios tengan una sensación de inseguridad”.