Entrevistamos a Iosu Arrizabalaga, CEO de Factum.
CyberSecurity News (CSN): La conclusión del informe ‘Cybersecurity. Is your safety net strong enough?’, que dice que 3 de cada 10 directivos españoles (aprox el 36%) afirman que es probable que puedan sufrir un ataque de ciberseguridad «significativo» en los próximos doce meses. Por otra parte, un estudio revela que el 60% de los responsables de tecnología y ciberseguridad admiten dificultades para cumplir con sus estrategias, lo que puede estar relacionado.
¿A qué se debe esta ruptura entre la preocupación de los empresarios y el auge de demanda y la incapacidad que sienten los expertos de cumplir con las estrategias de defensa?
Iosu Arrizabalaga (IA): Los ciberataques se mantienen al alza y los atacantes utilizan tecnología cada vez más sofisticada para lanzar sus amenazas de forma masiva. Y claro que los empresarios se han dado cuenta de ello. De hecho, notamos que están más concienciados con respecto a la peligrosidad que puede suponer un ciberataque, ya sean responsables de grandes corporaciones o pymes. Pero es cierto que existe una realidad que conforma esa tormenta perfecta que explica la ruptura entre ambos estudios:
Por una parte, los directivos, por mera formación profesional, están habituados a destinar más presupuesto y esfuerzo a desarrollar su negocio desde la actividad más normativa, como sacar nuevos productos al mercado, estudiar su competencia o invertir en la formación de su equipo. Y, aunque busquen información y asesoramiento experto, al final es complicado explicar, desde un lenguaje entendible para todos, qué trayectoria y beneficio puede reportar una estrategia de ciberseguridad. Eso, por supuesto, es un ejercicio de autoevaluación y mejora por nuestra parte.
De ahí, se une la segunda cuestión para los expertos en ciberseguridad, que es, por una parte, valorar si estamos comunicando correctamente todas las variables que envuelven la ciberseguridad corporativa y, por otra parte, considerar si estamos exprimiendo al máximo las oportunidades que nos provee la tecnología. Por ejemplo, ver si podemos integrar recursos punteros como la Inteligencia Artificial o el Cloud computing.
Al final, la sociedad digital avanza aceleradamente y, como profesionales “humanos” debemos contar con la tecnología y adaptar nuestro trabajo a esa misma velocidad de crecimiento, de modo que no suceda esa dificultad para llegar a los objetivos de ciberseguridad en nuestras estrategias y estemos siempre preparados para responder.
CSN: Con la guerra de Ucrania y la temporada estival. ¿Cómo están evolucionando los ciberataques en la actualidad?
IA: Los medios de comunicación pueden tener la primera palabra y es que, desde que comenzó la invasión rusa de Ucrania, los casos de ciberataques se han multiplicado y masificado en todo el mundo y en todas las empresas, sobre todo en aquellos países con mercados emergentes más innovadores.
De hecho, se sabe que la invasión ha estado acompañada desde su inicio por un conflicto cibernético sostenido, con una gran cantidad de ataques y amenazas. Por ejemplo, el 23 de febrero, un día antes de que las fuerzas militares de Rusia invadieran Ucrania, una ola de DoS rusos (ataques de denegación de servicio) inhabilitó los sitios web del gobierno, el ejército y los bancos de Ucrania.
Al final, el problema es que todas las oportunidades de crecimiento que hemos visto en las empresas con las tecnologías también se han hecho visibles en las organizaciones ciberdelincuentes, que han sofisticado sus ataques y han provocado que los expertos tengamos que hacer frente a un mayor volumen de amenazas con estrategias mucho más avanzadas de ciberseguridad.
Además, pese al armamento y los chantajes sobre cuestiones energéticas o de abastecimiento, no es complicado vislumbrar que el mayor daño que se puede causar a cualquier país reside en una ciberguerra, con ataques a las páginas web de las Administraciones, con robo de datos confidenciales, cortes de suministro eléctrico e, incluso, en la paralización de la actividad empresarial que, en países como España, puede suponer el cierre total de negocios (sobre todo si tenemos en cuenta que más del 90% son pymes con presupuesto limitado).
CSN: ¿Es el verano un posible factor que comprometa la ciberseguridad de las empresas en periodo de menor actividad y teletrabajo?
IA: El verano, al igual que todo periodo vacacional, tiende siempre a ser una época de reducción del ritmo de actividad en las empresas. En este tiempo, lo que vemos más son casos de compañías que tratan de buscar “chollos” de ciberseguridad para cubrir los meses de parón, ocasión que aprovechan los ciberdelincuentes para plagiar esas búsquedas rápidas, campañas de publicidad online y webs sencillas para acceder a los sistemas a partir de las mismas. Estos timos se suman a que los propios profesionales también desconectamos y, por tanto, ofrecemos menos capacidad de reacción y detección de amenazas más allá de la barrera de ayuda que puedan brindarnos las tecnologías avanzadas.
En sí, hay que tener en cuenta que los que no paran nunca ni se van de vacaciones son los ciberdelincuentes y que muchas veces no nos enfrentamos a una única persona con un ordenador, sino que se trata de organizaciones muy avanzadas, preparadas para detectar cualquier brecha de seguridad en cuanto bajemos la guardia. Y ese es el momento en el que más rédito pueden conseguir, porque recordemos que los datos ya conforman el negocio más lucrativo y que los ciberdelincuentes pueden llegar a conseguir 5 euros por cada uno que invierten.
CSN: ¿Es imprescindible crear una red de ciberseguridad que fortalezca todo el tejido empresarial en cualquier organización, independientemente de su tamaño?
IA: Por supuesto. Queramos o no, los ciberataques ya forman parte de ese “pack” que supone iniciar el proceso de transición hacia la digitalización o la apertura a los avances tecnológicos. Como vemos, la tecnología es una gran aliada en el objetivo de hacer crecer cualquier negocio, pero dar uso de esta supone desarrollar un plus de responsabilidad sobre los peligros que puede aguardar.
De esta forma, igual que consideramos que cualquier empresa, independientemente de su tamaño y sector, puede ser foco de ciberataques y que siempre va a precisarse una solución desarrollada por expertos, también creemos que esa red de ciberseguridad debe ser transversal a todos los departamentos de la compañía y debe integrarse en la misma como parte intrínseca de su cultura e identidad corporativa.
Esto significa que, al final, no vale únicamente con analizar la situación y poner en marcha tecnologías de detección y protección, sino que, si los equipos no están formados, cualquier solución que apliquemos verá afectada con creces su efectividad. Los empleados son nuestra mejor carta, ya que son la barrera primera y principal de prevención. Por eso, en todos nuestros planes de ciberseguridad se incluyen formaciones y testeos (de phishing, por ejemplo) que nos informan sobre el nivel de concienciación en el que se encuentran los trabajadores de la empresa.
