El informe “La ciberseguridad, en el punto de mira de la empresa” de Deloitte muestra como la ciberseguridad es una de las mayores preocupaciones para las empresas. Sin embargo, existe una gran desinformación al respecto que vulnera gravemente a la empresa.
Una de las más vulnerables son las pymes, ya que, un 43% de las ciberamenazas tienen como objetivo las pequeñas y medianas empresas europeas, según un estudio realizado por Kaspersky Lab y Ponemon Institute.
El 85% de las empresas están preocupadas por su ciberseguridad
De acuerdo con el informe de Deloitte, uno de los principales sectores donde se concentran la mayoría de los responsables de seguridad es en el tecnológico. El responsable de seguridad tecnológica suele estar presente en un 45% de los Comités Ejecutivos/Dirección o en un 40% de los Comités de Seguridad, ocupando puestos relevantes en el gobierno de la entidad.
Sin embargo, a pesar de que su rol empresarial es vital, su función se suele posicionar en departamentos relativamente pequeños dentro de la empresa, de manera que muchas veces acaban siendo un 42% los panelistas que cuentan en sus departamentos de seguridad con uno o dos trabajadores.
Entonces, ¿Qué importancia real se le da a la ciberseguridad en una organización? En general, los datos aportados por Deloitte aseguran que es elevada, ya que el 85% de las empresas muestra preocupación en este ámbito, en especial aquellas que pertenecen al sector tecnológico (72%), seguido por servicios y consultoría (59%) y, por último, el de la banca y las finanzas (57%).
Por otro lado, las actividades que son habitualmente gestionadas por la propia empresa suelen tener relación con la gestión de acceso a sistemas, aplicaciones, así como, las respuestas a incidentes de seguridad, además del compliance y la privacidad. El sector de la Hostelería y el Turismo suele ser el que más actividades realiza internamente. De forma externa las actividades más habituales son el hacking ético, inteligencia sobre ciberamenazas, el análisis forense y la revisión de las vulnerabilidades. En este caso, es el sector Inmobiliario en que más externaliza.
El correo spam es uno de los principales ciberataques
Pero, ¿Cuáles son los principales ciberataques empresariales? En primer lugar, se encuentra el correo spam, elevándose el porcentaje a un 83%, le sigue los virus/malware cuya función es inutilizar sistemas y dispositivos (62%) y el popular ramsonware con un porcentaje del 33%, por último, el espionaje industrial, así como los ataques destinados a los sistemas de control y producción representa tan sólo un 1%.
Además, de acuerdo con Deloitte, ya que gran parte de los ataques se basan en ingeniería social, la concienciación, formación y el entrenamiento de los empleados es uno de los mayores métodos defensivos frente a los posibles ataques.
A pesar de que el porcentaje de empresas que no ofrece este tipo de planes formativos se ha reducido en los últimos años (un 49% en 2017 y un 38% en la actualidad), sigue siendo una tarea pendiente. Pero, aun así, tan sólo un 24% de los panelistas realiza de forma sistemática y recurrente un análisis de ciberseguridad antes de la entrada en funcionamiento de un nuevo producto o servicio, y un 25% no lo realiza nunca. Además, unido a esto tan sólo un 38% de los panelistas no ha experimentado ningún inconveniente tras los incidentes de ciberseguridad.
Es más, de acuerdo con S2 Grupo, toda la compañía se ha de involucrar en la temática de la ciberseguridad, y no sólo formar, sino que también es importarte actualizar conocimientos.
Tomar esta clase de medidas es fundamental, ya que un 68% de las empresas ciberatacadas ha sufrido un impacto significativo, elevándose en gran parte de ellas a los 100.000 euros y un 25% no ha podido realizar una estimación de estas pérdidas. En la mayoría de los casos (93%) se informa a la Dirección General o al Consejo de Administración y, en más de la mitad de las veces (58%), antes de que se produzca el ataque, de manera preventiva.
Un 43% de los ciberataques de dirigen a las pymes
De acuerdo con S2 Grupo. “En los últimos años se ha avanzado mucho en el ámbito de la ciberseguridad, pero todavía las pequeñas y medianas empresas y, sobre todo, las que se acaban de crear, siguen descuidando ciertos aspectos que podrían poner en serio peligro la continuidad de sus negocios”, opina José Rosell, socio-director de S2 Grupo, que cree que “falta perspectiva real de los peligros que les pueden amenazar y de las consecuencias que podrían conllevar”.
Un 43% de las ciberamenazas tienen como objetivo las pequeñas y medianas empresas europea, según un estudio realizado por Kaspersky Lab y Ponemon Institute. Y, S2 Grupo subraya que existen diez errores de ciberseguridad fundamentales que realizan las pymes. Uno de los más comunes es pensar que con tan sólo un antivirus o un cortafuegos se está lo suficientemente protegido, o que la información empresarial que posee no es de interés para nadie.
Acerca de este último punto, Kaspersky Lab resaltó en un comunicado que las pymes, en general, suelen subestimar su posición, y muchas de ellas no reflexionan sobre el posible impacto a largo plazo que puede ocasionarle un ciberataque. Puede ser tan significativo que 6 de cada 10 pymes desaparecen a los seis meses de sufrir un ciberataque y, sólo en costes directos, desembolsan 35.000 euros.
De las que han sido víctimas de un ciberataque, un 51% de las pymes no se planteaba que pudiese ser objetivo de un ciberataque, y un 68% que no habían sido víctimas creían más que improbable que pudieran sufrir uno.
Otras afirmaciones que ponen en riesgo la seguridad de las pymes son “considerar que los informáticos son los únicos responsables de la ciberseguridad” y que “la ciberseguridad no requiere un mantenimiento”.
En cumplimiento también se encuentran fallos, por ejemplo, la firma de acuerdos de confidencialidad que es muy común en empresas grandes, pero no tanto en las pymes, así como, el incumplimiento de la LOPD. Además, la falta de seguridad en los contratos, así como en la red y en los sistemas.
A pesar de que cualquier empresa es susceptible a la ciberseguridad, las que ofrecen servicios a través de internet son especialmente vulnerables, debido a que es un foco para los cibercriminales y, al fin y al cabo, lo digital se vuelve la base del modelo de negocio empresarial. Por último, muchas pymes piensan que las amenazas empresariales siempre provienen de un tercero, y nunca de un posible error de los trabajadores.
Un hogar español sufre entre 100.000 y 500.000 intentos de ciberataques diarios
De acuerdo con la compañía Mnemo, un hogar español sufre entre 100.000 y 500.000 intentos de ciberataques diarios, aunque afortunadamente la mayoría no llegan a producirse.
Roberto Peña, director de ciberseguridad de MNEMO, indica que “Los datos de 1 de cada 3 personas están comprometidas en la red; No obstante, el problema es que estos datos no son casos aislados, se trata de una amenaza común que puede afectar a cualquier empresa e individuo y que sólo irá a más.”
“Al igual que en la vida real nos ofrecen protección y tomamos medidas para estar seguros, también deberíamos hacerlo en el mundo digital.” subrayó Peña.
De acuerdo con el director de ciberseguridad, el principal ciberriesgo al que se ven expuestos tanto las compañías como de los individuos es el del desconocimiento absoluto acerca del peligro, así como, la falta de actuación gubernamental, a pesar del crecimiento en ciberataques que está sufriendo España.
“Al igual que la ITV es un requisito indispensable para que un ciudadano pueda circular, y así no poner en riesgo al resto de los habitantes, también lo deberían ser las medidas de ciberseguridad en las empresas. Las medidas de fomento no deberían ser solo recomendar, sino también legislar y obligar; se aborda la temática con sanciones y procedimientos de comunicación, pero ¿y la prevención?” dijo Peña.
Pero, en primer lugar, ¿Por qué son tan vulnerables las empresas a los ciberataques? De acuerdo con Mnemo, el 85% de las empresas españolas no tienen procesos técnicos sobre brechas de seguridad.
Estas son las 10 mayores debilidades de las empresas en materia de ciberseguridad, de acuerdo con la compañía:
- Fugas de información a través de uso descuidado de pendrives, tablets y teléfonos.
- Robo de información y fraudes.
- Falta de formación y concienciación.
- Inexistencia de planes de gestión de los incidentes de seguridad.
- Muy baja inversión en ciberseguridad.
- Falta de planificación de continuidad de negocio.
- Contraseñas débiles y accesos a servicios compartidos sin permisos de usuario bien planificados o acceso poco controlado de externos a la empresa.
- Incapacidad de detectar un ataque de forma rápida y autónoma.
- Sistemas operativos caducados, como Windows XP y servidores con Windows server 2003.
- Uso de software creado a medida sin suficientes garantías de seguridad.
La inversión en ciberseguridad es necesaria. Y se puede invertir de dos formas: en la tecnología que disponen, o en los servicios de seguridad gestionada, los cuales deben ofrecer auditoria empresarial y revisión. Pero, tal y como resalta Peña, no una auditoría de carácter puntual, sino un análisis continuo para poder solventar cualquier riesgo que detecte la compañía al instante.
El mercado ransomware crece de forma llamativa
Por otro lado, investigadores de Carbon Black que se han encargado del seguimiento de foros en la dark web, han detectado un crecimiento en el mercado de un valor de 6.237.248,90 dólares. Por lo que la venta ha aumentado un 2.502% desde 2016.
Además, el valor total de las ventas de ransomware en este tipo de webs han subido de 250.000 dólares a más de 6 millones de dólares en solo un año, mostrando que el ransomware es una herramienta muy lucrativa para los cibercriminales y de sencilla adquisición. De hecho, se estima que algunos de estos ciberdelincuentes ganan más de 100.000 dólares con la venta de ransomware.
¿Cuáles son los precios de venta? Suelen oscilar 3.000 dólares –los personalizados– y sólo 1 dólar el básico para Android. También es muy usual realizar pagos en Bitcoin.
“La economía global de ransomware se está expandiendo en bienes y servicios, al igual que los mercados regulares en los que participamos durante nuestra vida diaria”, han afirmado los investigadores.
También existe innovación en el mundo de la ciberdelincuencia, unos investigadores de la universidad belga Leuven han descubierto un nuevo exploit, capaz de afectar a aquellos dispositivos que estén conectados a redes WiFi, sobretodo aquellos que utilizan Android 6.0 (41%) y versiones posteriores, aunque también ataca a Linux, iOs, Windows y macOS.
Una vez que esté infectado el dispositivo, los cibercriminales podrán leer emails, mensajes, contraseñas y tarjetas de crédito de sus víctimas, así como modificarlos infectando con malware páginas web.
