De acuerdo con el especialista, hay una gran cantidad de amenazas internas y externas que se multiplican y que las empresas deben afrontar cotidianamente, mientras mejoran procesos, pero no incorporan prácticas de seguridad. Entre las internas, algunas están en relación al peligro humano directo, como tener personal disconforme en la empresa o los abusos de privilegios digitales, mientras que otras están relacionadas con amenazas de malware, ransomware, errores y omisiones en el uso de sistemas de información. No debemos olvidar los errores humanos (desarrollo y operación), más los debidos a fallas en la capacitación del personal, el uso de dispositivos propios (BYOD) sin las debidas medidas de protección o el no reportar y tratar incidentes cibernéticos, entre otros.
Claro que también hay que tener en cuenta a las amenazas externas, especialmente los relacionados con el “hacktivismo, espionaje, terrorismo digital, delitos financieros; trabajo híbrido post pandemia; fintech, startups y canales omni/digitales”, agrega.
Muchos de los ciberataques están relacionados con la evolución constante de la tecnología
Las tecnologías emergentes permiten grandes avances, pero también fomentan el auge de los errores, fraudes y ataques, por lo que será necesario que la ciberseguridad no sea sólo reactiva, sino preventiva y detectiva. IoT, IoP, chatbots, drones, machine learning, fintech, blockchain, IA, entre otros, y la velocidad de aparición de las mismas, sumado a las metodologías ágiles, proveen soluciones rápidas e innovadoras, pero también incrementan los tipos de amenazas, vulnerabilidades y riesgos informáticos.
El especialista sugiere estar atentos y en lo posible anticiparse, especialmente porque los riesgos se incrementan puertas adentro, debido a la resistencia al cambio o por cultura o por una falsa creencia que la seguridad pone palos en la rueda. Todo eso puede afectar negativamente generando impacto en los procesos de negocio, a la seguridad de la información y a la privacidad de los datos. “Aplicar técnicas de desarrollo seguro y reforzar la seguridad al emplear metodologías ágiles permiten proteger, detectar tempranamente y de esta manera poder responder todo lo relacionado con los accesos a datos, identidades, dispositivos, apps, redes e infraestructura. Además, es imprescindible una capacitación y una concientización permanente, con monitoreo constante”, afirma.
A su vez, el auge de la digitalización también llegó hace tiempo a distintos sectores del Gobierno, que debe tener su guardia siempre alta en materia de ciberseguridad. Ejemplos de robos de bases de datos, brechas de seguridad e intentos constantes de hackeo dan fe de la necesidad imperiosa de blindar de alguna manera los sensibles sistemas de la administración gubernamental en nuestro país. En los sectores críticos del Gobierno la seguridad informática cobra así un valor fundamental porque muchos ataques utilizan “debilidades estructurales argentinas para saltar y acceder a información muy valiosa y datos sensibles de empresas de otros países. Debemos ir por un Gobierno seguro de datos, administrando y gestionando los riesgos críticos, descubriendo rápido y dando respuesta ante eventos de datos relevantes, y monitoreando constantemente la administración inteligente del cumplimiento”, indica Silberfich.
«Debemos ir por un Gobierno seguro de datos, administrando y gestionando los riesgos críticos, descubriendo rápido y dando respuesta ante eventos de datos relevantes, y monitoreando constantemente la administración inteligente del cumplimiento.»
Pero su análisis va más allá, porque para que la seguridad tenga más relevancia sería necesario además que haya un “Gobierno organizacional y de TI», que refuerce los temas de privacidad de datos, previendo y sugiriendo un cambio fuerte en el entorno regulatorio de la tecnología, la seguridad y la información, siguiendo el modelo de las nuevas Comunicaciones del BCRA enfocadas en las Entidades Financieras. “Requisitos mínimos para la gestión y control de los riesgos de tecnología y seguridad de la información asociados a los servicios financieros digitales”.
Éstas tratan temas como: Gestión de Riesgos de TI, Gobierno y Gestión, Responsabilidades de Dirección y Gerencias, Resiliencia tecnológica, Obsolescencia de la tecnología y los sistemas, Gestión de las relaciones con terceras partes en el desarrollo y utilización de algoritmos de inteligencia artificial o aprendizaje automático, Protección de datos personales en el uso de tecnologías asociadas a blockchain, Gestión de escenarios de ciberincidentes relacionados a datos personales de los clientes y gestión de datos y activos informáticos.
Las medidas para desalentar el ciberdelito, en momentos en los que se encuentra en pleno auge, tienen que pasar por la protección de la información, que es el activo más importante además del personal, que tiene la gente y que también tienen las empresas. Ante la pregunta sobre cuáles serían las medidas concretas que se deben tomar para desalentar al ciberdelito, en momentos en que parece estar en pleno crecimiento, Silberfich respondió: “Básicamente, armar un mapa de Riesgos de TI y del negocio y sus criticidades, sin olvidar la puesta en acción continua del ciclo que rige el marco de la ciberseguridad: identificar, proteger, detectar, responder y recuperar”.
En ese sentido, para estar preparados no solo es necesario contar con herramientas más poderosas, sino también concientizar con el buen uso de los dispositivos y los sistemas y, especialmente, “con la formación de profesionales especializados en ciberseguridad y aumentar la concientización de la alta dirección, a los efectos de asignar presupuesto de inversión y sponsoreo de los temas en cuestión”.
Pero la educación también debe darse puertas adentro, capacitando y concientizando a los niveles directivos y gerenciales, para que luego puedan replicar eso al resto de los empleados operativos y, por supuesto, a las áreas de Tecnología y Sistemas. “A cada nivel se les deben explicar las amenazas, las vulnerabilidades, los riesgos y el impacto, en algunos casos en lenguaje tecnológico, y en la mayoría en lenguaje de operación de su unidad y de negocios. Todos nosotros somos agentes de seguridad de la información, porque la seguridad no es un tema del CIO, es un tema de la empresa, es un tema de todos”, concluye simplemente el experto.
