Ciberseguridad: ¿qué tiene que ver conmigo y con mi empresa?
Por qué la ciberseguridad no sólo afecta a las grandes empresas y qué hay que tener en cuenta
La ciberseguridad está en boca de todos tras numerosos ataques y titulares. Pero, ¿por qué debería preocuparme como empresario y por qué la ciberseguridad es un tema importante que puede afectar a todos?
Mucho ha cambiado en el mundo digital desde Corona. Entre otras cosas, esto también afecta al estado de la digitalización aquí en Alemania, pero también en todo el mundo. En muchos lugares, la infraestructura es inadecuada o incluso inexistente. No hace mucho, altos representantes del Gobierno alemán calificaron internet de «territorio inexplorado», lo que causó estupor en muchos sectores de la población, ya que internet se ha convertido en una parte indispensable de nuestra vida cotidiana. Sin embargo, la digitalización ha pasado de largo no sólo de las administraciones públicas, sino también de muchas pequeñas y medianas empresas, y esto es especialmente doloroso ahora. La captación de nuevos clientes es un gran obstáculo debido a la pérdida de contactos personales, las oficinas en casa son una tarea difícil por falta de infraestructura y la carga administrativa es cada vez mayor.
Muchas tareas repetitivas que podrían haberse automatizado hace tiempo para liberar tiempo a los empleados siguen realizándose de forma laboriosa y costosa, en parte a mano. Bien utilizada, una buena estrategia de digitalización puede ampliar nuestra base de clientes y mejorar la satisfacción de los empleados.
Índice
Ciberseguridad y violación de datos
¿Qué tiene que ver todo esto con la «ciberseguridad»? Cuantos más datos y procesos trasladamos al mundo digital, más «superficie de ataque» ofrecemos para posibles daños. Una y otra vez, espectaculares filtraciones de datos saltan a los titulares, desde la pérdida de datos que merece la pena proteger hasta el fallo de importantes infraestructuras. Como suele ocurrir, la mejor estrategia para muchos en este caso es «si no haces nada, no cometerás ningún error».
En el lado opuesto del espectro, tenemos el enfoque «mucho ayuda mucho», de modo que cualquier cosa que a alguien se le ocurra o sea popular de algún modo en el momento se lanza contra un problema. Pero aquí también hay que tener en cuenta que la complejidad también puede poner en peligro la seguridad de un sistema. Cuanto más complejo es un sistema, más espacio damos a posibles vulnerabilidades de seguridad. Aumentamos así la cantidad de código en el que tenemos que confiar y mantener actualizado al mismo tiempo; es lo que se denomina base informática de confianza (TCB, por sus siglas en inglés). Una vulnerabilidad en un solo componente de nuestra TCB puede comprometer potencialmente todo el sistema, así que cuanto más pequeña sea la TCB, mejor.
La seguridad como elemento estratégico
La seguridad debe ser siempre una prioridad en cualquier estrategia de digitalización. La primera estrategia, y probablemente la más sencilla, es mantener actualizado el software que se utiliza. Muchos sistemas se instalan una vez y luego no se mantienen o se mantienen mal. Un argumento muy cacareado de por qué esto no es un problema importante es: «a ningún delincuente le interesa nuestra empresa», pero Telekom ya está informando de un número de ciberataques de dos dígitos en 2019.
Automatización de los ataques
El hecho es que la mayoría de los ataques no son dirigidos, sino puramente automatizados. La idea «romántica» de los ciberdelincuentes sentados en el sótano entre latas de bebidas energéticas y atacando empresas está dando paso a un pequeño programa que escanea incansablemente Internet 24 horas al día, siete días a la semana en busca de unas pocas vulnerabilidades predefinidas. A menudo, se atacan estas vulnerabilidades el mismo día en que se conocen.
Hablamos de los programas mencionados anteriormente como los llamados exploits de día cero. Se trata de programas que pueden explotar una vulnerabilidad, a veces incluso antes de que existan contramedidas eficaces. Existe todo un mercado para este tipo de software, por el que se pagan elevadas sumas de dinero en función de la gravedad y el atractivo de la vulnerabilidad. El software que goza de un uso generalizado suele ser el blanco de este tipo de ataques y, por tanto, requiere una mayor atención en lo que respecta a las actualizaciones.
Particularmente interesante es ver aquí la clase de vulnerabilidades de seguridad con las que tratamos más a menudo. El Open Web Application Security Project (OWASP para abreviar) mantiene una lista TOP 10 de los problemas de seguridad que pueden encontrarse en las aplicaciones web actuales. Los llamados ataques de «inyección» ocupan el primer lugar desde hace muchos años. En pocas palabras, se trata de ataques con los que se pueden inyectar comandos en una aplicación a través de la entrada normal del usuario (por ejemplo, consultas de búsqueda). Estas vulnerabilidades suelen aparecer debido a un cuidado inadecuado en el desarrollo del software y, en muchos casos, podrían reducirse en gran medida utilizando herramientas más modernas.
En el sector financiero, estas herramientas, como los lenguajes de programación avanzados, ya se utilizan. En muchos lugares, sin embargo, la industria del software sigue luchando. A menudo hay una falta de voluntad para invertir en tales tecnologías y en la experiencia asociada. En consecuencia, gran parte de estos problemas aún pueden encontrarse «buscándolos» manualmente. Sin embargo, herramientas más progresistas pueden aliviar en gran medida a los desarrolladores de este proceso y, en última instancia, conducir a mejores resultados. Las personas que trabajan cometen errores. Las herramientas no están ahí para reprocharnos nada, sino para apoyarnos; Es importante reconocer y aprovechar esta oportunidad.
Desarrollar software de forma segura
Como desarrolladores de software debemos a nuestros clientes -especialmente en tiempos de creciente ciberdelincuencia- un mayor nivel de cuidado. Desarrollar software correcto y robusto es una tarea que requiere mucha experiencia. Como desarrolladores de software, estamos en un juego constante del gato y el ratón. Ser conscientes de ello y examinar regularmente las cartas de los atacantes para comprender su modus operandi forma parte de nuestro trabajo.
Muchas soluciones de software estándar suelen estar equipadas con una gama bastante rígida de funciones para cubrir tantos escenarios como sea posible. A menudo, sin embargo, exactamente la funcionalidad que sería deseable para una aplicación especializada no forma parte de ella. En algunos casos, por tanto, el software se adapta con grandes gastos. Un riesgo que puede surgir aquí es que el sistema no pueda actualizarse sin ajustes. Así, si surge un riesgo de seguridad que requiera una nueva versión del software utilizado, esto se asocia automáticamente a un esfuerzo adicional, que en el peor de los casos puede llevar a un nuevo desarrollo completo del software.
Una infraestructura que funcione requiere conocimientos especializados, y encontrar un socio de confianza para esta tarea puede suponer un gran reto. Para ello, es esencial una comunicación a la altura de las circunstancias. «Seguridad al cien por cien» y promesas similares deben tomarse con mucha cautela, porque siempre pueden surgir problemas de seguridad. Es importante la transparencia con la que se tratan y cómo reacciona el equipo ante posibles peligros. No te dejes impresionar por floridas palabras de moda. Los atacantes tampoco se dejarán impresionar.
Más información: Ciberseguridad para empresarios en 5 puntos
Autor: Raichoo Ketchum (XING | LINKEDIN) | Antei GmbH
Los comentarios están cerrados.