Los usuarios, punto débil de la ciberseguridad empresarial

· La falta de capacitación en ciberseguridad y la poca importancia que se le atribuye al tema por parte de los usuarios son algunas de las debilidades que favorecen los ataques cibernéticos. 

· En Chile, los grupos organizados que se dedican a esta actividad ilegal generaron 14 mil millones de intentos de ciberataques en el último año, ubicando al país como el quinto de la región en recibir más atentados de este tipo.

La falta de capacitación de los usuarios, unido a la poca conciencia de éstos en torno a la importancia de la ciberseguridad al interior de las empresas y a nivel de usuario hogar, son algunas de las deficiencias que junto a otras amenazas facilitan los ataques cibernéticos de los grupos organizados dedicados a este ilícito, y que solo en el último año realizaron cerca de 14 mil millones de intentos de ciberataques en Chile y 360 mil millones en la región. 

“Los usuarios son el punto débil de las empresas en la estrategia de ciberprotección. Si bien las empresas están avanzando en sus procesos de transformación digital y adquiriendo cierta madurez en relación a los temas de ciberseguridad, aún están al debe cuando se trata de profundizar sobre la cultura y la concientización en sus colaboradores como medida para neutralizar los ataques”,explica Ricardo Pulgarín, Security Solutions Architect de Cirion Technologies.

El ejecutivo comenta que, actualmente, las empresas e instituciones enfrentan amenazas a la ciberseguridad que están orientadas a afectar desde dos ángulos: dañar directamente su infraestructura y atacar a los colaboradores o usuarios finales.“De este modo”, añade Pulgarín, “los criminales cibernéticos utilizan amenazas que buscan comprometer las redes internas de las empresas, así como la conectividad de los usuarios internos y externos, los servidores y páginas web del negocio”.

Al mismo tiempo, los hackers se valen de la ingeniería social mediante la cual, aprovechándose de las emociones de los usuarios y explotando sus debilidades y desconocimiento, aplican ataques como el phishing que hoy se ha trasladado incluso a plataformas como WhatsApp, con mensajes de voz o códigos QR que despistan a las personas y las vuelven más vulnerables.

Ricardo Pulgarín agrega que en este contexto, la falta de una cultura de ciberseguridad es el error principal que cometen las empresas, junto con la inexistencia de una política y estrategia claras de seguridad de la información. “El hecho de contar con herramientas sin establecer una estrategia de ciberprotección propicia vulnerabilidades de ciberseguridad al carecer de visibilidad e integración de las mismas. Las empresas deben fortalecerse con políticas y procesos definidos para que todas las acciones de control formen parte de un ecosistema efectivo que blinde la información crítica del negocio, desde la predicción y la prevención hasta la detección y respuesta”, agrega el ejecutivo.

Junto con lo anterior, la capacitación constante de los usuarios es fundamental y debe estar respaldada por una correcta implementación de protocolos de ciberseguridad con un enfoque en seguridad informática, que se refiere a lo operacional y en seguridad de la información, que tiene que ver con la estrategia. 

“Una empresa no sólo deber proteger sus datos, procesos y servicios, además de la conectividad y los dispositivos que usan los colaboradores, si no que también debe educar constantemente a los usuarios sobre cómo usa estas herramientas, la información que comparte y de qué manera lo hace, ya que de lo contrario, se convierte en ese eslabón más débil de la cadena de protección, y es ahí donde las empresas e instituciones deben apuntar los esfuerzos”, dice Pulgarín.

Panorama de la ciberseguridad en la región

En Latinoamérica, muchas empresas todavía están acostumbrándose a los desafíos de la  llamada 4ª Revolución Industrial en la que luego del contexto pandémico, donde la digitalización experimentó un avance exponencial, invertir y garantizar la seguridad de los datos “ya no es sólo una cuestión de evitar pérdidas financieras, las que -por cierto- se pueden calcular antes de que ocurran”, comenta Ricardo Pulgarín.

Según reportes de la industria, una de cada dos empresas en la región ha sufrido ataques cibernéticos en el último año, poniendo a la ciberdelincuencia en el número 1 de la lista de preocupaciones al interior de las organizaciones latinoamericanas. En cuanto a los países más atacados por las bandas de ciberdelincuentes en América Latina, México lidera el ranking con 187 mil millones de ataques, seguido de Brasil (103 mil millones), Colombia (20 mil millones), Perú (15 mil millones) y Chile, que se suma al top 5 con 14 mil millones durante 2022, 50% más que 2021, según datos del laboratorio de análisis e inteligencia de amenazas FortiGuard Labs.

La consultora internacional e-Governance Academy Foundation creó el Índice Nacional de Seguridad Cibernética (NCSI, por sus siglas en inglés) para investigar el nivel de preparación de los países frente a las ciberamenazas, y de qué manera gestionan los incidentes cibernéticos. El estudio reflejó que la protección de servicios esenciales es el área que mayor retraso presenta en Latinoamérica, donde hay muy poco seguimiento a las medidas de seguridad así como ausencia de personal idóneo para supervisar a los operadores de estos servicios. 

La buena noticia es que la lucha contra el cibercrimen en la región es el aspecto que presenta mayor progreso, con Argentina liderando la categoría de seguridad cibernética con 63.64 puntos, mientras que Chile está a la cabeza respecto del nivel de desarrollo digital, con 61.45 puntos.

Frente a este escenario, el futuro en relación a los ataques cibernéticos no se ve muy promisorio: según un reporte de Gartner del año pasado, para 2025 el 45% de las organizaciones de todo el mundo habrá sufrido ataques en el software de sus cadenas de suministro, lo que supone un aumento tres veces superior al de 2021.

Con estos antecedentes, el ejecutivo de Cirion Technologies insiste en que “se vuelve fundamental que las empresas arranquen con la definición de un plan en ciberseguridad que permita establecer políticas de seguridad de la información para, después y de acuerdo con ella, definir las herramientas, controles y procesos idóneos que deben aplicarse, además de elegir un socio estratégico que las apoye para implementar este plan, lo que a su vez les permite concentrarse en el centro de su negocio”, finaliza Ricardo Pulgarín.