Las organizaciones mejoran en la gestión de vulnerabilidades y desvelan los controles de acceso y los de red como potenciales brechas de seguridad

LEET Security ha analizado las debilidades y los puntos fuertes de las empresas auditadas este último año 2020 y que cuentan con una calificación de ciberseguridad para alguno de sus servicios. En este análisis, LEET Security ha observado que el mejor resultado en las empresas evaluadas se ha obtenido en el área de gestión de incidentes y carencias, lo que significa que cuentan con unas buenas medidas y herramientas de ciberseguridad para responder de forma efectiva frente a un incidente. Una categoría que, actualmente, cobra especial importancia ya que, según estudios recientes y tras la declaración de la pandemia, España es el cuarto país del mundo que ha recibido un mayor número de ciberataques durante los meses de confinamiento. 

En contraposición a estos indicadores se encuentra el dominio de Operación de Sistemas, que ha obtenido los peores resultados del estudio comparativo de las calificaciones. Estos resultados vienen determinados por la categoría de Gestión de la Información y el Conocimiento, – que mide los protocolos de seguridad en la gestión que hacen las empresas de datos que albergan en sus sistemas (clientes, usuarios, empleados, etc.)-, que es una de las que ha obtenido una menor calificación de media de todo el modelo de evaluación de LEET Security. 

Este estudio se ha llevado a cabo comparando los 14 dominios diferentes que la empresa evalúa para otorgar un tipo de calificación de seguridad. Esta calificación cuenta con cinco niveles distintos, que abarcan desde la A+ hasta la D, exigiendo ya desde el nivel ‘D’ el cumplimiento de unas medidas básicas de seguridad y correspondiendo el nivel ‘A+’ al mejor conjunto de medidas. 

La gestión de vulnerabilidades: el punto fuerte para prevenir ciberataques

Otra de las áreas que se deben tener en cuenta para mejorar una calificación de ciberseguridad son los dominios de Control de acceso y Controles de red. A pesar de que en este análisis comparativo no se ha encontrado una única característica particular en la que se perciba una carencia generalizada en este dominio, sí se ha detectado una práctica habitual que genera una importante debilidad, ya que se trata de desatender o no prestar la atención necesaria a la hora de ofrecer un acceso seguro. Esto significa una inadecuada gestión y control de usuarios y contraseñas a través de los que se acceden a los distintos sistemas y subsistemas de la red de la corporación, porque generalmente el fallo por el que se genera una brecha de seguridad tiene un componente humano. En la identificación de este “eslabón más débil” de las medidas y prácticas de ciberseguridad de las empresas calificadas es en lo que se basa el modelo de calificación de LEET Security, que ha identificado que el control de accesos y los controles de red suponen unas potenciales brechas de seguridad entre las empresas analizadas. 

Sin embargo, en el último año se ha observado una clara mejoría en la Gestión de Vulnerabilidades en las calificaciones realizadas, con respecto a 2019. Lo que supone una muy buena noticia, ya que es muy importante que las empresas mantengan las actualizaciones y parcheos de los sistemas al día para prevenir todo tipo de incidentes de seguridad. Se trata sin duda de uno de los puntos fuertes de la calificación de ciberseguridad. 

Los servicios y centros de seguridad gestionada, los más seguros

Otra de las categorías analizadas en este estudio comparativo son los servicios ofrecidos, en este sentido, el 75% de las empresas ofrecen los siguientes tipos de servicios:

• Soporte de sistemas y aplicaciones mediante conexión remota (Soporte informático en remoto, servicios cloud…). 
• Consultoría
• Gestión de procesos externalizados (Inversiones en activos e inmuebles)
• Servicios y Centros de Seguridad Gestionada SOC (Centros de Operaciones de Seguridad). 

En cuanto a estos servicios, una de las principales conclusiones que se extraen en este estudio comparativo es que los servicios y centros de seguridad gestionada son los que muestran los más altos niveles de seguridad, tal y como corresponde a los servicios críticos. Sin embargo, los servicios que muestran un menor nivel de seguridad son aquellos relacionados directamente con el ‘core’ del negocio, con los procesos de negocio, y que están subcontratados, conocidos como BPO (Business Process Outsourcing). Hay que tener en cuenta que, en esta parte del análisis, se han obtenido resultados de entidades que prestan sus servicios exclusivamente en áreas críticas del sector financiero, por lo que para ello aplican las máximas medidas de seguridad. Unas medidas adoptadas que se reflejan en este estudio comparativo y, por tanto, determinan los resultados. 

Los principales sectores a los que pertenecen las empresas analizadas, tal y como se representa en el gráfico comparativo de araña:

– Empresas de soporte de los servicios IT (23,25%).

– Empresas de consultoría (16,27%).

– Empresas de servicio BPO – Subcontrata de procesos de negocio (18,60%).

– Servicios SOC (Centro de operaciones de Seguridad) (18,60%)

– Empresas del sector financiero (23,28%).