En Estados Unidos y fuera de sus fronteras, la preocupación por la posibilidad de ciberataques sigue creciendo tras la invasión rusa de Ucrania. Recientemente, el Presidente Biden advirtió del riesgo, y expertos en ciberseguridad aconsejó a la gente que empezara a prepararse ante la posibilidad de un ciberataque.
Aunque actualmente no existe una amenaza inminente, tampoco se puede negar la posibilidad de que la invasión tenga importantes consecuencias para la ciberseguridad, incluso para países y empresas que no se hayan visto directamente afectados por los acontecimientos en Ucrania. Después de todo, cuando un Estado-nación libera malware, éste puede atacar a cualquier cosa, no sólo a su objetivo (Un ejemplo: NotPetya).
Pero tanto si se hacen realidad los peores temores cibernéticos del mundo como si no, la amenaza que se cierne subraya el papel esencial de la concienciación y la educación en materia de ciberseguridad para ayudar a defenderse de un peligro potencial.
Entender cómo funcionan los ciberataques y cómo protegerse contra ellos no es sólo competencia de los profesionales de la seguridad informática; la ciberseguridad es algo que todos debemos conocer, en mayor o menor medida. A todos los niveles -desde una persona que recibe un correo electrónico de phishing, pasando por un directivo que se plantea una inversión en ciberseguridad, hasta un analista de redes que busca activamente indicios de un ataque en curso o inminente-, la acción empieza por la concienciación. Todos tenemos que ser capaces de entender, en el contexto de nuestra propia experiencia, qué es lo que crea riesgo, qué constituye una amenaza y qué hacer en presencia de cualquiera de las dos cosas.
"Yo diría que la clave es ser proactivo", afirmó Jim Taylor, Director de Producto de SecurID, en un reciente debate en línea. Conversación sobre las principales prácticas de ciberseguridad a adoptar durante una crisis geopolítica.
"Si usted es un CISO, edúquese a sí mismo y a su equipo sobre las amenazas actuales, en evolución y potenciales, y enseñe a los usuarios cómo desarrollar buenas prácticas. Haz que las cosas sean comprensibles, para que las personas que no son profesionales de la seguridad entiendan por qué". descargar fotos personales en el portátil del trabajo puede ser peligroso, por ejemplo".
Los profesionales de la seguridad tienen mucho en su arsenal para luchar contra un ciberataque basado en la identidad, con autenticación multifactor (AMF), gobernanza de la identidad y otras capacidades a su disposición.
Pero esos recursos sólo son tan eficaces como los conocimientos y las acciones que los respaldan. Por eso la concienciación y la educación en ciberseguridad son fundamentales para todas las personas que no forman parte del equipo de seguridad, desde los ejecutivos hasta los trabajadores por horas.
Por ejemplo, los responsables de la toma de decisiones a nivel ejecutivo o directivo deben comprender por qué es fundamental invertir en determinadas capacidades y darles prioridad, de modo que puedan tomar decisiones políticas y de financiación que contribuyan a mantener la seguridad de sus organizaciones. Recuerde, los hackers entraron en Oleoducto Colonial a través de una cuenta inactiva que no estaba protegida por MFA. Y recuerde que DarkSide no interrumpió la producción de gasolina: cifró la infraestructura de facturación de la empresa, lo que llevó a Colonial Pipeline a desactivar la producción. Una interrupción en una parte de una empresa podría afectar en cascada a otras.
Más allá del nivel directivo, todos los miembros de una organización deben comprender por qué necesitan adoptar una mentalidad de seguridad en el trabajo, incluso si -quizá especialmente si no están en el equipo de seguridad. La concienciación de toda la organización es lo que consigue correos electrónicos de phishing denunciado en lugar de abierto y detiene los ataques antes de que empiecen.
La ciberseguridad en el trabajo es importante, pero hoy en día, el trabajo va mucho más allá del lugar de trabajo tradicional. Ser consciente de los riesgos y saber cómo afrontarlos debe formar parte tanto de la vida cotidiana en casa como de la vida laboral. Y no sólo el trabajo en casa ha ampliado el área de riesgo de la ciberseguridad. Por ejemplo, uno de los efectos de la pandemia fue que los niños no pudieron ir a la escuela, por lo que se conectaron en casa, poniendo en peligro a una población muy vulnerable.
"Nuestro viaje digital está superando nuestra capacidad para asegurarlo", dijo Jim Taylor. "La situación actual de la ciberseguridad no tiene nada de bueno, pero es concienciarnos y hacer que tengamos las conversaciones sobre seguridad que necesitamos tener".
Otro ejemplo de riesgo de ciberseguridad más allá del lugar de trabajo tradicional es Riesgo IoT. Aunque todo lo que permite la IO, desde los coches autoconducidos hasta los hogares inteligentes, tiene grandes ventajas, también entraña riesgos. ¿Qué ocurriría, por ejemplo, si una amenaza se apodera de un coche conectado y desactiva los frenos? ¿Y si alguien piratea un dispositivo doméstico conectado y lo utiliza como vía de acceso a un sistema crítico?
"Hay mucho en lo que pensar, pero cuanto mayor sea la concienciación al respecto, mejor equipados estaremos para afrontarlo", señaló Jim Taylor. "Como alguien dijo una vez, el mejor dólar que se gasta en seguridad es el que se gasta en educación".
Vea el seminario web a la carta: "Conversación sobre las principales prácticas de ciberseguridad a adoptar durante una crisis geopolítica"
