Ciberseguridad, una responsabilidad de todos

Sin lugar a duda, los incidentes cibernéticos han crecido exponencialmente y han afectado a empresas de todos los sectores productivos en el mundo. Entre el 2021 y el 2022 se pueden nombrar casos reconocidos mundialmente, como el Colonial Pipeline, NHS, Banco de Chile, sistema eléctrico de Ucrania, Gobierno de Costa Rica, Ministerio de Infraestructura de México, INVIMA, DANE, SolarWinds, entre miles de otros casos.

Todas estas organizaciones, en mayor o menor medida, tenían implementados mecanismos de ciberseguridad para proteger su información y sus procesos tecnológicos de ataques de fugas o secuestros de información. Sin embargo, sucumbieron ante los ataques perpetrados por grupos delictivos cibernéticos organizados, de los cuales cada vez se detectan mucha mayor actividad.

Las medidas que tenían estas organizaciones en algunos casos eran de millones de dólares en equipamiento, personal, entrenamiento y apoyo de terceras partes especializadas, en otros casos eran con medidas internas, y en otros, se tercerizaba completamente la gestión de la ciberseguridad de las empresas o entes estatales. Pero teniendo en cuenta este panorama, la pregunta que todos se hacen es ¿por qué pudieron ser atacados?

No existe una única respuesta, pues cada incidente tiene características muy particulares, después de estar en varios procesos de respuesta de incidentes entiendes que cada empresa tiene controles o medidas diferentes, que no en todos los casos fueron actualizados o se han ido adaptando a este mundo cambiante. Sin embargo, también existen varios factores comunes que los delincuentes aprovecharon, voy a mencionar algunos de estos.

Tercerizar no implica no tener responsabilidad 

Las áreas de sistemas siempre se han visto responsabilizadas cuando algún sistema falla o no cumple con las expectativas del usuario. En la actualidad, esto se ha transferido a las empresas externas de ciberseguridad, las cuales cumplen con la función de monitorear y responder ante amenazas cibernéticas, pero esto no significa que las organizaciones y sus empleados no tengan ningún tipo de responsabilidad en el manejo de la información.

Si bien las empresas terceras gestionan los dispositivos de seguridad de la información y monitorean los elementos de la red, los controles fundamentales de la información son responsabilidad de quien usa los datos y de quienes generan las políticas de control de acceso. Puesto que, si cualquier usuario de la red puede acceder a cualquier dato o pasar información sensible a ubicaciones digitalmente externas, es imposible para cualquier sistema de seguridad controlar de forma eficiente estás amenazas.

Lugares oscuros en la red

El monitoreo es la base de la seguridad, pues lo que no se monitorea es imposible gestionarlo. En muchos de los incidentes en los que he participado, nos encontramos que el servicio o servidor por donde inició el ataque, no estaba siendo monitoreado de ninguna forma o que monitoreaban solo una parte de servicio. Estas zonas oscuras, dentro de las mismas redes de la organización, les permiten a delincuentes internos o externos moverse sin que los sistemas de alerta anuncien la anomalía en el comportamiento o en la conexión.

El ejemplo típico está en los ataques de secuestro de información (Ransomware), donde siempre las víctimas preguntan ¿Cómo nada detectó el usuario o las conexiones?, pero cuando uno revisa los eventos que se monitorean, solo están elementos que están en la frontera de la red y nunca uno que revise o analice sucesos internos, así los delincuentes podían moverse sin inconvenientes en todos los dispositivos dentro de la red y solo en el momento de la ejecución de secuestro se evidencia una anomalía.

Si funciona no lo toque

Esta es una de las frases que más he escuchado en mi vida profesional y que menos significado tiene dentro de un esquema de ciberseguridad, pues los ataques evolucionan todos los días y la tecnología aún más, esto hace que la configuración que se tiene en un WAF (Web Application Firewall) deba ser revisada casi que a diario.

En los dispositivos de control es donde más se suelen encontrar debilidades generadas por la práctica de no tocar, dejando configuraciones por años sin que nadie las revise o actualice, donde en algunos casos quien originalmente diseñó la solución ya no está en la organización, dejando configuraciones que en su momento puede que no generaran riesgo, pero con los años y la adquisición de otros dispositivos y servicios, permiten a los delincuentes tener una puerta abierta.

No conocen lo que tienen

En empresas grandes es usual que la rotación del personal de sistemas sea elevada y que la cantidad de dispositivos aumente todos los días, complicando tener un inventario claro de los activos de sistemas, pero adicionalmente, es muy común que no se tenga un registro claro de la información que se tienen en servidores o quienes tienen acceso a los diferentes servicios internos y externos. Esto genera que cuando se presente un incidente, no se tenga claridad de los posibles vectores de ataque o los orígenes del mismo, pues nadie sabe con exactitud qué o quiénes tienen acceso a la maquina o a la información.

Esto es especialmente perjudicial cuando el incidente es de fuga de información, pues al no tener ese detalle, toda la organización y todos los terceros se convierten en potenciales sospechosos del ataque. En el proceso forense de un caso de estos se pierden días valiosos intentando entender accesos, permisos, conexiones y reconstruyendo, en muchas ocasiones, las medidas de seguridad, mientras que, si se tiene un inventario, un mapa y permisos claros de la red y de la información, es mucho más sencillo encontrar la causa raíz del incidente.

Son muchas más las características similares que se encuentran en las empresas cuando se realiza una respuesta de incidentes, pero estas suelen ser las causas principales de por qué pudieron ser atacados. Demostrando que la ciberseguridad no es algo que se adquiere y se conecta a una red o a una organización, sino que es un proceso empresarial que debe ser tenido en cuenta por todos los niveles empresariales y en el cual cada persona es un actor importante de control o de riesgo.

Si quieres saber cómo desde Movistar Empresas te podemos ayudar a proteger la integridad de tus proyectos visítanos.

Imagen de rawpixel.com en Freepik