En los primeros seis meses de 2018 ha habido 944 ciberataques reportados exitosos en el mundo donde se han visto comprometidos 3.300 millones de registros de datos, según el Breach Level Index publicado recientemente por Gemalto. Esto representa un crecimiento de 72% con respecto a 2017. De estos ciberataques, 20% no tienen claro cuántos registros están comprometidos, por lo que el número podría ser aún muchísimo mayor. Adicionalmente, hoy son muy pocos los ciberataques que son divulgados. Pero con estas cifras, todos los días se han visto comprometidos 18 millones de registros, más de un millón por hora y casi 220 registros cada segundo, incluyendo información financiera, médica e información privada.
No ha habido industria que se salve. El mayor número de incidentes lo sigue teniendo el sector salud con un 27% del total de los ataques reportados, aunque el mayor número de registros comprometidos ha sido a través de las redes sociales, con 76 %, principalmente por los ataques a Twitter y Facebook. Este año ha habido también ataques a universidades, empresas del sector retail, telecomunicaciones, aerolíneas, aeropuertos, energía y telecomunicaciones, entre otros. El sector hotelero también se encuentra vulnerable, como lo hemos visto en el ataque a Marriott-SPG, que sufrió un robo de información de 500 millones de usuarios anunciado el 30 de noviembre de este año. El problema de la ciberseguridad y el cibercrimen no es un problema menor. El cibercrimen se espera supere en cifras al narco tráfico y la venta de drogas ilegales, llegando a US$6 billones en 2021.
América Latina ha sido objetivo en los últimos meses. Hemos tenido ataques a los bancos en México, Chile y Perú con diferencia de unas pocas semanas. Comenzó con el ataque al Spei en México en abril. Continuó con el ataque al Banco de Chile en el mes de mayo y solo hace unas pocas semanas la SBS Superintendencia de Bancos y Asbanc, la Asociación Bancaria de Perú, hacían referencia al posible ataque a bancos locales en una misma semana. Las perdidas monetarias suman millones de dólares, pero lo peor ha sido el impacto reputacional que ha sufrido el sistema en estos países.
A medida que las personas y empresas somos más digitales, utilizamos más tecnología en todo lo que hacemos y estamos más interconectados, incrementa la posibilidad de que nuestra información privada sea vulnerada y que seamos víctimas de ciberamenazas y ataques. Es decir, los ciberriesgos son parte de nuestras vidas y todos somos responsables de gestionarlos. El gran problema no es solo el robo de información confidencial y privada. Los riesgos relacionados con tecnología operativa, médica, robots, vehículos autónomos, aviones, sistemas de control industrial, Scadas, IoT, sensores, etc. incrementan igualmente y es allí donde un ataque puede costar la vida a personas y traer pérdidas millonarias a empresas y Estados. La gran pregunta que todos debemos hacer es ¿cómo gestionamos los ciberriesgos?
La realidad indica que no seremos capaces de proteger todo. Debemos identificar aquellos activos incluyendo información, propiedad intelectual einfraestructura crítica. Nuestras joyas de la corona. Como personas nuestra información privada, médica y financiera o dispositivos como un marcapasos que esté conectado a Internet. Como empresas la información de nuestros clientes, la propiedad intelectual de nuestros productos y servicios, o infraestructura operativa crítica. Debemos entender las amenazas, vulnerabilidades y riesgos pueden tener. Aquellas cosas que nos pueden impactar. Una vez tenemos eso claro, debemos desarrollar capacidades de protección y detección. Temas básicos como: proteger nuestras credenciales, usuarios y claves, controlar el acceso a la información y la tecnología sólo a quienes la necesitan, no caer en trampas como hacer clic en correos sospechosos, encriptar la información o reportar actividades inusuales. La detección incluye estar atentos, monitorear y correlacionar señales que nos indiquen que algo está pasando, así como aprovechar la inteligencia externa de amenazas que podamos conseguir.
La protección y detección no son suficientes. Debemos tener capacidades para responder y recuperarnos en el evento de un ataque o incidente. Aislar la ocurrencia de un ataque, como quien aísla una enfermedad para que no se convierta en pandemia, es clave. Tener equipos de respuesta a incidentes, forensica para entender qué pasó, planes de crisis y comunicación ayudan a recuperarnos lo más pronto posible. Tener un programa de gestión de riesgo balanceado entre la protección y detección con la respuesta y recuperación.
Mas de 90% de las reclamaciones hoy a las pólizas de ciberriesgo son por causas humanas. Igualmente, más de 70% de los incidentes de ciberseguridad se relaciona a causas diferentes a la tecnología. Las personas y sus comportamientos son los principales generadores de incidentes hoy. Las personas somos la principal línea de defensa y al mismo tiempo el eslabón más débil. La concientización y actuación de las personas es el elemento fundamental en la gestión de ciberriesgo. Por último, recordar dos mensajes claves: 1) lo que no se tiene, no se necesita proteger. No tengamos ni publiquemos más información de la que verdaderamente necesitamos. 2) Hay dos tipos de víctimas: quienes tienen algo valioso y los que son un objetivo fácil. No seamos un objetivo fácil al proteger lo que es valioso.