Ciberdefensa: Un asunto de todos

¿Eres una de las muchas personas que piensan que la ciberseguridad es responsabilidad solo del Departamento de TI? Si es así, temo decirte que estas equivocado. La ciberdefensa es asunto de todos, es transversal y además personal; desde el director o presidente ejecutivo hasta el pasante o quienes laboran en tareas en las que no se requiere un dispositivo electrónico; todos en el lugar de trabajo debemos ocuparnos de la ciberdefensa.

En el mundo digital actual, las organizaciones dependen cada vez más de la tecnología. No obstante; esta dependencia tecnológica expone a una mayor superficie de ataque y por consecuencia a un mayor riesgo de ciberataques. Dadas las graves consecuencias de un ciberataque, todos deberíamos tomarnos en serio la ciberdefensa.

Un ciberataque podría provocar pérdidas económicas, el robo de información confidencial o secretos, impactar la continuidad de las operaciones e incluso generar litigios o arbitrajes, penalizaciones por regulaciones y daños a la reputación o a la marca.

Algunas acciones que todos podemos tomar para ayudar a proteger nuestra organización contra las ciberamenazas, de paso mejorar la ciberdefensa y aumentar la cultura digital y la concienciación son:

• Cada uno debe evaluar la situación o la exposición al riesgo desde su área de trabajo. Quiere decir que debemos aprender a evaluar los activos y sistemas esenciales para la existencia de nuestra empresa, aquellos que harían difícil operar o funcionar y que podrían ser un objetivo de alto valor para los ciberdelincuentes.
• Enumerar aquellos activos importantes, incluido el capital humano que gestionamos y las protecciones alrededor de ellos. El objetivo es desarrollar una cultura de ciberseguridad que incluya como eje a cada persona. Es decir; enseñar a las personas cómo protegerse y por consecuencia a la organización. Adicionalmente, desarrollar una comprensión de las ciberriesgos a medida que nuestra organización se expande o agrega nuevas tecnologías y/o capacidades.
• Debemos alentar sinergias para hacer de la privacidad una prioridad máxima y educarnos sobre nuestras responsabilidades y sobre la importancia de proteger los datos que gestionamos. En resumen, impulsar un sólido programa de concientización sobre seguridad para que identifiquen rápidamente cuando algo salió esta fuera de los parámetros normales.
• Así como disponemos alarmas contra incendios que nos notifican sobre amenazas, en ciberdefensa, cuanto antes se informe de una amenaza o de un posible ataque, más rápido se podrá reaccionar, mitigar el daño y reanudar las operaciones normales.
• Claro, debemos recordar que siempre hay oportunidades de mejora y que, además, todo cambia y que, aun con todas las precauciones que podemos tomar, aún podríamos ser víctimas de un ciberataque.
• Como organización, debemos estar preparados para responder de manera oportuna, expedita y eficaz a fin de mitigar los riesgos y al mismo tiempo, enviar un mensaje positivo a clientes internos, externos y de la cadena de suministro.
• Puede que aun con todas estas previsiones, ese margen de riesgo que no cubrimos por la razón que sea, nos haga víctimas, en cuyo caso, debemos articular de previo las medidas de recuperación que tomaremos ante un ciberataque. Dentro de estas medidas, tanto en la etapa de respuesta como en la de recuperación ante desastres, requieren una planificación cuidadosa y concienzuda. El objetivo final es la restauración o recuperación completa de las infraestructuras, los sistemas y los datos; de forma que volvamos al menor plazo a las operaciones normales.

Se trata de crear una mentalidad de ciberdefensa responsable. Cada uno en su familia, su empresa o en sus círculos debe operar como un cortafuegos humano, es decir; reconocer primero que la ciberdefensa debe ser una preocupación de individual y que como parte de una organización -cual sea, pública o privada-, somos un componente esencial de cualquier estrategia exitosa de ciberresiliencia.

Cada uno de nosotros actuamos entonces como un escudo contra las ciberamenazas centradas en humanos, incluidos los correos electrónicos de phishing, los intentos de ingeniería social y otros comportamientos maliciosos.

El NIST (Instituto Nacional de Estándares y Tecnología), defiende la mentalidad de seguridad primero, en su publicación "La seguridad es trabajo de todos", a partir de la cual establece algunas premisas que se utilizan para crear una cultura de ciberdefensa "crítica" para una postura de ciberseguridad exitosa. Expresa que la creación de una mentalidad de ciberdefensa responsable comienza con el establecimiento de al menos cinco valores fundamentales que se centran en protegernos contra las ciberamenazas y garantizarnos estar atentos a nuestro papel en este proceso:

La seguridad es un requisito organizacional fundamental.

La ciberdefensa es esencial para proteger y garantizar la continuidad de las operaciones. Requiere un fuerte compromiso de todos los niveles de la organización para mantener una mentalidad de seguridad primero en todo momento.

Todos en la organización tenemos un papel que desempeñar en la seguridad.

Tener una cultura que reconozca el importante papel que cada persona juega en la seguridad es fundamental. Todos deben ser conscientes de su responsabilidad de ayudar a proteger a la organización contra las ciberamenazas y actuar en consecuencia.

La seguridad requiere una mejora y adaptación continuas.

El panorama de la ciberseguridad cambia constantemente, porque le panorama de las amenazas es muy disruptivo e impredecible; por lo que es importante revisar y actualizar continuamente nuestra postura de ciberseguridad. Esto incluye implementar nuevas tecnologías y procesos según sea necesario y mantenerse al día contra las últimas amenazas y tendencias.

Los riesgos de seguridad deben gestionarse de forma proactiva.

La gestión proactiva de los riesgos implica la identificación de posibles vulnerabilidades, así como la mitigación y el tratamiento de esos riesgos antes de que se conviertan en una amenaza. Esto requiere monitoreo continuo, pruebas y evaluaciones de amenazas que informen su estrategia general de gestión de riesgos.

Ocurrirán incidentes, a pesar de nuestros mejores esfuerzos, por lo que debemos estar preparados para responder y recuperarnos rápida y efectivamente de ellos.

No importa qué tan bien planee o qué tan fuerte sea su postura de ciberdefensa, siempre existe la posibilidad de que se materialice un incidente. Tener un plan sólido de respuesta a incidentes es esencial para recuperarse de manera rápida y efectiva de un incidente. Esto incluye tener una comprensión clara de quién es responsable de qué y contar con las herramientas y los recursos necesarios para minimizar el impacto de un incidente.

Al establecer estos valores fundamentales, puede crearse una base sólida para una cultura de responsabilidad y vigilancia que ayudará a proteger nuestras organizaciones contra las ciberamenazas. Claro, con un fuerte compromiso en todos los niveles, se augura el éxito y el crecimiento continuo en el panorama digital que como bien sabemos, está en constante evolución de manera acelerada.

Debemos tomar en serio nuestro papel en la ciberdefensa, la contribución de todos es fundamental para protegernos contra ciberataques y posibles filtraciones de datos. Como citamos "la ciberdefensa debe ser una preocupación de individual, de manera que; como parte de una organización -cual sea, pública o privada-, interioricemos que somos un componente esencial de cualquier estrategia exitosa de ciberresiliencia".