Ciudad de México, 14 de noviembre 2022.- Las empresas hoy en día se encuentran en un mundo cada vez más digital, en donde los crímenes cibernéticos se hacen más preocupantes y crecen de forma exponencial a nivel global: un 400% de 2018 al 2020, según la Encuesta Global de Riesgos Aon 2021. La inquietud es que el aumento no sólo se da en el número de casos, sino también en pérdidas económicas para las empresas, las cuales ascendieron a un total de $20 mil millones de dólares en 2021.
Cristhian Prado, Financial Lines Manager en Aon, afirma que, en la región, un 70% de las organizaciones se encuentran protegidas ante un riesgo físico como puede ser un sismo o una inundación, pero sólo el 20% cuentan con protección a nivel digital. El costo promedio de un ataque de malware puede resultar en pérdidas económicas de $ 2.6 millones de dólares, costo que no todas pueden absorber, principalmente las PYMEs. Por ello, sugiere no minimizar el riesgo si la empresa es grande o pequeña, ya que asegura “todas las empresas están expuestas si se encuentran conectadas a la red”.
Los principales ataques cibernéticos más frecuentes suelen ser:
- Ransomware. Una forma de malware que bloquea los archivos o dispositivos del usuario y luego reclama un pago online anónimo para restaurar el acceso. Este puede provocar diversos daños de alto impacto como (1) la interrupción en la cadena de suministro y negocio, (2) gastos asociados por eventos de la violación a la privacidad como la extorción y exposición a la opinión pública de datos confidenciales que pueden llevar a una crisis reputacional, (3) pérdidas financieras por fuga de información, (4 multas y sanciones impuestas por autoridad reguladora de protección de datos (INAI), (5) incumplimiento de contratos, entre otras.
- Phising. A través de correos electrónicos fraudulentos, los ciberdelincuentes engañan a cualquier usuario con el fin de conseguir información personal o empresarial como: contraseñas, datos de tarjetas, números de cuentas bancarias, bancos de datos, datos fiscales, etcétera.
Como se ha establecido, mitigar el riesgo es un desafío para todas las empresas. Afortunadamente, existen estrategias efectivas para prepararse ante un ataque potencial de ciberseguridad y las organizaciones deben contar con un diagnóstico interno, en el que se analicen las capacidades o la existencia de una respuesta para actuar ante ellos:
1.- Ser proactivo y cuantificar riesgos
Tener un plan de acción, guía o manual de respuesta ante estos incidentes, así como poner a prueba al personal mediante prácticas simuladas en escenarios reales para mejorar la resiliencia y su funcionamiento. Por supuesto que estas herramientas deben evaluarse, revisarse y actualizarse. Por otro lado, también se deben cuantificar los riesgos y cuestionar: ¿cuántos datos tengo?, ¿cuántos son de terceros?, además de conocer el costo de hacerle frente a este tipo de riesgos.
2.- Capacitar a los colaboradores sobre seguridad cibernética
Crear una cultura de participación y responsabilidad, en la que todos los colaboradores intervengan de forma activa en defensa contra amenazas, riesgos y ataques es un imperativo. El phishing se ha mantenido como una de las causas principales de acceso no autorizado a una red corporativa. Lo ideal es instruir a los usuarios no solo para detectar un correo electrónico de phishing, sino también para informar a su equipo interno de seguridad cibernética; siendo este un paso fundamental para detectar las primeras etapas de un ataque de este malware.
3.- Emplear autentiión multifactor
Conocido también como el proceso de dos pasos, esta autentificación verifica la identidad del usuario por medio del escaneo de una huella digital o al especificar un código, en todas las formas de inicio de sesión (acceso a correo electrónico, computadoras con conexión remota, sistemas, redes externas o basados en la nube). De esta manera, siempre será complejo descifrar esta clave para completar el hackeo.
4.- Mantener los sistemas de parcheados actualizados
Los atacantes pueden identificar un sistema vulnerable con un simple escaneo de su red al utilizar herramientas gratuitas gracias a las susceptibilidades sin parches (piezas de software usadas para hacer mejoras, actualizaciones, reparación de errores o para añadir nuevas funcionalidades). De esta manera, tener un sistema de parcheo actualizado y en constante funcionamiento, podrá prevenir el secuestro de datos y otros ataques cibernéticos.
5.- Considerar las opciones de transferencia de riesgos
Debido a que un ataque de ransomware puede amenazar la reputación y la buena voluntad de una organización, el riesgo total que genera nunca puede ser mitigado por completo. Sin embargo, las empresas deben considerar una cobertura de seguro cibernético adecuada y tener en cuenta su relación con terceros. Al hacerlo, las organizaciones deben revisar cómo la protección aborda la indemnización por pérdida financiera, interrupción del negocio, tarifas y gastos asociados con el rescate, así como la respuesta a incidentes.
Comprender el riesgo de pérdidas potenciales, los costos asociados, así como las amenazas por ataques cibernéticos a otras empresas exige soluciones, una de las más efectivas y con mayor cobertura, es contar con la guía de expertos en respuesta a estos incidentes, así como asesoría legal, comunicación de crisis, negociación y pago de rescates. Tener la correcta orientación de expertos, ayudará a generar un marco de gestión de riesgo cibernético al interior y exterior de las organizaciones.