Alan Abreu, Responsable de riesgos cibernéticos de Hiscox
Los datos son la unidad mínima de información con la que compañías y profesionales trabajamos cada día.
El valor que generan a nivel empresarial y su influencia en el desarrollo del negocio crece año tras año. Y, hoy se encuentran altamente amenazados.
Estos datos pueden tener un valor intrínseco por sí mismos, como el gasto anual de un cliente, o necesitar de datos adicionales para ser comprendidos. Así, solo el conjunto de unos datos coherentes es lo que habitualmente genera conocimiento y riqueza en las empresas, como por ejemplo poder estimar unas previsiones de ventas de un ejercicio completo. En consecuencia, es vital proteger esta información: por el presente y el futuro de nuestra propia actividad, por responsabilidad hacía clientes, empleados y proveedores de los que tengamos información, y porque además es obligatorio por ley y nos exponemos a sanciones, cada día más frecuentes.
He aquí el gran problema, estos datos tienen tanto valor para nosotros como para los ciberdelincuentes, que intentarán hacerse con ellos para utilizarlos en su propio beneficio. No hay semana en la que no nos enteremos, a través de los medios de comunicación, de una o dos brechas de seguridad en bases de datos, tanto de grandes multinacionales como de pymes y organismos públicos. Ejemplos que nos muestran la importancia de su seguridad y protección.
Cualquier compañía, independientemente de nuestro tamaño o actividad, gestionamos nuestros propios datos, y a la hora de establecer una estrategia de seguridad robusta necesitamos comprender qué información estamos manejando, donde está alojada y qué flujos de transferencia de datos se están produciendo. Por ejemplo, podemos tener datos, o acceso a los mismos, en dispositivos electrónicos que nuestros empleados llevan consigo de un lado a otro, pero la situación que entraña más riesgo es cuando estos datos están almacenados y no están siendo usados. En este sentido, los primeros días de confinamiento de 2020 fue un momento que los ciberdelincuentes supieron aprovechar ya que muchas oficinas detuvieron su actividad, no había nadie vigilando ni utilizando los datos y cuando fueron conscientes de que se había producido una brecha de seguridad ya era demasiado tarde.
La OWASP (Open Web Application Security Project) publica cada año cuales son las vulnerabilidades más comunes de las bases de datos. En 2020 fueron las motivadas por ataques de inyección, en los que se emplean comandos maliciosos que alteran de algún modo las bases de datos pudiendo cambiar los valores contenidos y recuperar información para la que no se tiene acceso; aquellas fruto del ataque de rotura de autentificación donde los delincuentes aprovechan mecanismos de autenticación no seguros o credenciales filtradas en otras brechas de datos para obtener acceso, y la exposición de datos sensibles que se produce cuando gestionamos de forma indebida los datos sensibles dentro del sistema, incrementando con ello la exposición a usos malintencionados.
Qué recomendamos hacer a nuestros asegurados, y por lo tanto a cualquier compañía o profesional
Un buen proceso en la gestión de los datos condiciona la relación contractual entre aseguradora y cliente. De hecho, a la hora de suscribir una póliza ciber, cada vez es más habitual que se pida a la empresa o profesional asegurado información que demuestre que durante el último año ha introducido mejoras y desarrollado una mayor robustez de su estrategia de seguridad reduciendo su exposición al riesgo. Y en parte, existen medidas para conseguirlo sin asumir un mayor coste o la necesidad de invertir en nueva tecnología como por ejemplo minimizando la cantidad de datos – en ocasiones guardamos información que no es útil para el negocio-; gestionando correctamente las contraseñas de acceso; controlando qué empleado accede y determinando sus niveles de permisos – no es necesario para el negocio que todos tengamos acceso a toda la información que gestiona la compañía-, o estableciendo un simple proceso periódico de copias de seguridad.
