En el documento “Estrategia de Transformación Chile Digital 2035”, dado a conocer por la Mesa de Ciberseguridad del Senado de Chile en mayo del año 2022, se exponen las siguientes metas dentro de su competencia profesional
- Creación del Instituto Nacional de Ciberseguridad y del Centro de Capacidades de Ciberseguridad de Iberoamérica al 2023
- Creación de las nuevas agencias nacionales de Protección de Datos Personales y de Ciberseguridad y Protección de Infraestructura Críticas de la Información al 2025
- Creación de la totalidad de los CSIRT sectoriales y COC Nacional al 2030
- Inversión del gasto en I+D+i (Investigación, Desarrollo e innovación) de Ciberseguridad como porcentaje del PIB en un 0,1% al 2025 y en 0,2% al 2030
- Formación de 10.000 profesionales certificados en Ciberseguridad al 2035, donde al menos el 30% de ellos sean mujeres.
- Alcanzar el 2035 una “Madurez en Ciberseguridad” cercana al Estado 5 o “Dinámico” para una nación, de acuerdo con el CMM (Centro de Modelamiento Matemático) de la Universidad de Oxford, en todos los Factores con al menos evaluación Estado 4 y medido de forma externa.
Desde el ámbito de las empresas dedicadas al negocio de la seguridad informática, también hay mucho que decir. Tal es el caso de ESET Latinoamérica, cuya investigadora de seguridad Informática, Martina López, respondió algunas interrogantes sobre la piratería informática, por un lado, y la preparación de las empresas, por el otro.
– ¿Cuál es el riesgo que la piratería informática significa para las grandes industrias y cómo estas pueden defenderse?
Hoy en día, las compañías deben lidiar con varios tópicos en materia de ciberseguridad:
- Ingeniería social y phishing: La ingeniería social consiste en tácticas de manipulación y engaño para persuadir a la víctima para que realice ciertas acciones que no haría sin estar siendo engañado. Generalmente se ve acompañado en contexto de phishing, o comunicaciones engañosas que buscan robar información, robar dinero o instalar códigos maliciosos en el dispositivo de la víctima. Contrario a lo que parece, la mayoría de los ataques a compañías se derivan de algún tipo de ingeniería social representado en un correo o mensaje de phishing, lo cual debe ser contrarrestado con actividades de educación y concientización.
- Ransomware y robo de información: Una de las amenazas más temidas en las organizaciones es el ransomware, código malicioso que cifra y deja inaccesible la información del sistema y pide dinero de “rescate” a cambio. Además, y a partir de la pandemia, los grupos detrás de estas amenazas adoptaron la modalidad de extorsión y robo de información, en donde amenazan a la víctima con hacer públicos los archivos que, antes de ser cifrados, fueron también robados. Los rubros de salud, finanzas y gobierno son los favoritos de estos grupos cibercriminales, por la sensibilidad de datos que manejan.
- Vulnerabilidades y falta de actualización: Un problema que no se cierne solo a la Argentina, sino que es sintomático de la región, son las detecciones de vulnerabilidades que cuentan con parche de actualización (y, en algunos casos, que datan de años atrás) y el aprovechamiento de estas por parte de los cibercriminales para ingresar a los sistemas. Aplicaciones dedicadas al manejo de ofimática (por ejemplo, los del paquete Office) y las nativas de los sistemas operativos son de las aplicaciones/sistemas con más vulnerabilidades expuestas por falta de actualización que vemos el día de hoy. Esto puede deberse a la falta de concientización de los equipos de tecnología, el uso de software pirata, o la falta de personal especializado que maneje los activos de las organizaciones.
Para defenderse contra la piratería informática, las grandes industrias pueden implementar varias medidas de seguridad y mejores prácticas. Algunas de estas medidas incluyen:
- Fortalecer la seguridad con herramientas tecnológicas, como firewalls, sistemas de detección y prevención de intrusiones, y soluciones de seguridad.
- Actualizar y parchear regularmente los sistemas para cerrar posibles brechas de seguridad.
- Implementar políticas de autenticación sólidas, como contraseñas robustas, autenticación de dos factores y sistemas biométricos, para dificultar el acceso no autorizado.
- Proporcionar capacitación regular a sus colaboradores sobre seguridad informática , como concientización sobre phishing y otras técnicas de ingeniería social.
- Limitar el acceso a los sistemas y la información confidencial solo a colaboradores empleados que lo necesiten, y asegurarse de que los privilegios de acceso estén correctamente asignados y sean revisados periódicamente.
- Implementar un plan de respuesta eficiente ante incidentes, que incluya la identificación rápida de brechas de seguridad, la mitigación de daños y la restauración de sistemas afectados.
– ¿En qué nivel de preparación están las empresas chilenas para defender sus infraestructuras, desde un punto de vista informático?
La preparación de las organizaciones puede variar considerablemente. En general, muchas organizaciones en la región han mejorado su conciencia sobre la importancia de la seguridad informática y han implementado medidas para proteger sus sistemas. Sin embargo, todavía existen desafíos significativos y disparidades en términos de preparación.
Algunas organizaciones, especialmente las grandes y las que operan en sectores críticos, han invertido en soluciones de seguridad avanzadas y han establecido equipos dedicados a la gestión de la seguridad informática. Estas organizaciones suelen tener políticas de seguridad establecidas, implementan controles de acceso, utilizan herramientas de detección y prevención de intrusiones, y demás.
Por otro lado, muchas pequeñas y medianas organizaciones en la región aún enfrentan desafíos para implementar medidas de seguridad cibernética efectivas debido a limitaciones de recursos, falta de conciencia y conocimiento técnico. Esto las hace más vulnerables a los ataques cibernéticos.
En términos de regulación y marcos legales, algunos países latinoamericanos han promulgado leyes y regulaciones relacionadas con la protección de datos y la seguridad cibernética. Sin embargo, la implementación y el cumplimiento de estas regulaciones pueden ser desafiantes.
Es importante destacar que la colaboración entre las organizaciones, el gobierno y otras partes interesadas es crucial para mejorar la preparación y la respuesta ante las amenazas cibernéticas en la región. Además, la educación y la concientización sobre la seguridad cibernética deben promoverse activamente para garantizar que las organizaciones comprendan los riesgos y las mejores prácticas de seguridad».
Por Sergio Peña Herrera
