¿Qué aprendimos en seguridad en 2017?

  • Seguridad

Ahora que empezamos año, si no lo has hecho todavía, es tiempo de reflexión para reducir errores en los próximos doce meses. Recapitulemos, con Trend Micro, las lecciones aprendidas en seguridad para blindar los sistemas en la medida de lo posible.

La firma revisa lo acontecido en seguridad en 2017 para que sirva como base para analizar las tendencias y poner soluciones, de forma que los sistemas estén más protegido en 2018.

El ransomware evoluciona
Desde hace varios años, el ransomware ha causado importantes dolores de cabeza a las organizaciones, pero en 2017 ha sido cuando hemos visto la amenaza utilizada de una manera sin precedentes para causar el caos a una escala global, subraya Trend Micro, aludiendo a los ataques de WannaCry y Petya/NotPetya de mayo y junio, que mostraron el ransomware podría emplearse en combinación con los exploits desarrollados por los Estados para extenderse de forma sorprendente a través de las redes.

Quizá te interese...

Por una Transformación Digital segura (IT Webinar)  

Cómo debe ser el Centro de Datos de Nueva Generación

Cómo mejorar la analítica de tu banco digital y optimizar la experiencia de usuario

7 sugerencias para mejorar la carga de tu web o app

Cómo superar los desafíos de TI en las pequeñas empresas

La empresa digital: transformando las TI con nuevas infraestructura

Estos incidentes nos han enseñado la importancia de aplicar parches para reparar las vulnerabilidades conocidas tan pronto como se disponga de una solución, y advirtieron lo que puede suceder cuando los gobiernos buscan socavar la seguridad de cientos de millones de usuarios investigando exploits en los programas de software más populares.

BEC está costando miles de millones a las empresas
Actualmente, de todos los riesgos relacionados con el mundo “ciber” a los que enfrentan las organizaciones en la actualidad, el Compromiso del Email Empresarial (BEC) parece ser uno de los más fáciles de reducir. Sin embargo, según el FBI, las pérdidas registradas en el período que va desde octubre de 2013 a diciembre de 2016 superaron los 5.300 millones de dólares. Trend Micro prevé que esta cantidad aumentará hasta los 9.000 millones de dólares el próximo año a medida que las organizaciones continúen mostrando cuán expuestos están su personal y sus procesos a la ingeniería social.

“Puede que no haya malware que detectar en la mayoría de las estafas BEC, pero con una plantilla mejor formada y concienciada, y algo tan simple como garantizar que dos miembros senior del departamento financiero autoricen y firmen las grandes transferencias de fondos, las organizaciones pueden aislarse mejor”, aconseja la firma de seguridad. 

Empresas de gran renombre siguen aún cometiendo errores de novatos
Cuándo van a aprender, se pregunta. En los últimos 12 meses se ha visto otro listado de organizaciones que "deberían haber conocido mejor" que sufren daños por brechas datos e incidentes de privacidad. Yahoo (3.000 millones), Uber (57 millones) y Equifax (145,5 millones) son algunas de las que nos vienen a la mente como los ejemplos más clamorosos de empresas que tenían los recursos, pero no la cultura corporativa correcta o la estrategia para mantener a raya a los hackers.

Muchas más organizaciones se vieron en aprietos después de encontrar información sensible de clientes o de su propiedad expuesta en Internet de forma pública a través de configuraciones erróneas de la base de datos cloud, a menudo en manos de un tercer partner. “Estos incidentes nos dicen una vez más que las empresas aún no tienen los conceptos básicos en materia de ciberseguridad, y están fallando a la hora de extender las políticas a los partners y proveedores”, advierte la compañía.

El cumplimiento de GDPR aún no está funcionando
A medida que avanza el año, el reloj también lo ha hecho y no se parará hasta el 25 de mayo de 2018, fecha en que finalmente entrará en vigor el Reglamento General de Protección de Datos (GDPR) de la UE. Es difícil recordar una ley nueva con implicaciones de ciberseguridad y privacidad de tan gran alcance para las empresas. Sin embargo, la falta generalizada de conocimiento y la aceptación de cúpula directiva siguen siendo preocupantes, a pesar de las altísimas multas que están a la vista por incumplimiento. Gartner estima que menos de la mitad de todas las empresas cumplirá totalmente antes de la fecha límite.

Una reciente investigación de Trend Micro reveló una inquietante falta de interés por parte de ejecutivos de nivel-C: los altos ejecutivos eluden la responsabilidad en el 57% de las empresas. Las compañías necesitan entender y conocer mejor qué datos tienen, crear un plan de notificación de brechas e invertir en tecnologías más avanzadas para mantener a raya las amenazas.

De IoT a cloud, las vulnerabilidades seguirán siendo el talón de Aquiles
Las vulnerabilidades son una de las mayores amenazas a la seguridad a las que se enfrentan las empresas. No importa si se encuentran en el firmware del dispositivo IoT, las aplicaciones web, en el software de las instalaciones físicas o en su infraestructura cloud; si hay un agujero explotable en su entorno informático, éste podría ser el objetivo.

“Los CISO deben asegurarse de contar con un enfoque integral y automatizado para la administración de parches y la agilidad para responder de manera rápida y efectiva a cualquier amenaza descubierta recientemente, recomienda la empresa de seguridad.