La ciberseguridad no es una responsabilidad exclusiva de especialistas sino parte esencial del negocio
En un mundo cada vez más digitalizado, la ciberseguridad pasó de ser una preocupación técnica a constituirse en una prioridad estratégica.
Con el aumento sostenido de amenazas cibernéticas y la creciente sofisticación de los ataques, las empresas están invirtiendo más recursos en proteger sus datos, infraestructuras y operaciones.
Lo interesante es que el interés de las compañías por desplegar estrategias de ciberseguridad también hace foco en sus objetivos comerciales y niveles de competitividad.
Prueba de ello es que el 50% de las empresas de América Latina reportan una inversión total en ciberseguridad de entre 10 y 49 millones de dólares.
En Argentina, el 63% de las empresas implementan herramientas de ciberseguridad.
Mientras que de acuerdo a datos compartidos por el consultor Víctor Ruiz en Infobae, 80,1% de las personas dejaría de adquirir productos o servicios de una marca tras un incidente de seguridad.
Para entender con mayor profundidad este contexto, compartimos una conversación exclusiva con Salvador Vial, Principal Executive Security Advisor and Field CISO de Amazon Web Services (AWS).
Junto a él, analizamos de forma detallada los desafíos que tienen las organizaciones en términos de ciberseguridad, cuáles son los ciberataques más comunes y las recomendaciones para mejorar la resiliencia ante este tipo de agresiones.
También hicimos foco en el rol que tiene la inteligencia artificial en las estrategias de ciberseguridad, y la problemática vinculada a la falta de profesionales que experimenta el sector.
Asimismo, abordamos el concepto de seguridad por diseño, y compartimos algunos trazos de la interesante trayectoria de nuestro entrevistado.
Un recorrido profesional de múltiples experiencias con la tecnología
La carrera de Salvador comenzó y se mantuvo a lo largo de los años como un camino de descubrimientos. Un trayecto multifacético, que derivaría en su consolidación como uno de los principales especialistas en ciberseguridad de América Latina.
En su temprana juventud eligió estudiar electricidad y electrónica. En ese momento -hace 23 años- las carreras universitarias vinculadas al ámbito de la tecnología eran exclusivamente ingenierías en informática orientadas a programación.
Un área de especialización que no era de su interés. No se veía programando todo el día.
Esa adquisición de conocimientos teóricos y competencias prácticas relacionadas con el diseño de circuitos electrónicos -como la soldadura de placas-, y el trabajo con motores y bancos de condensadores, junto a la corrección de factor de potencia, le resultó de gran utilidad años después, en la gestión de data centers.
La exploración de Salvador también abarcó programas de diseño en CAD para hacer planos eléctricos, proyectos de automatización y control, y sistemas de PLC.
Todo este background le aportó un matiz distinto sobre cómo gestionar tecnologías emergentes.
El paso siguiente fue estudiar administración de redes y telecomunicaciones. Pero luego de cursar esa carrera, comenzó a trabajar en un puesto de software quality assurance. Una posición que no estaba relacionada con redes.
“Tener un conocimiento más amplio puede ser un diferencial, pero te tiene que tocar la suerte de poder explotarlo”, analiza.
De hecho, no tuvo oportunidad de aplicar sus aprendizajes en electricidad hasta 15 años después de haberlos incorporado, cuando comenzó a trabajar en una empresa de distribución eléctrica.
“Obviamente todo sirve, te da otra perspectiva. Pero no necesariamente te va a tocar hacer la carrera o estudiar algo y aplicarlo directamente”, remarca.
Hoy, Salvador, quien se define como una persona inquieta a la que le gusta hacer cosas distintas, está contento con su trayectoria y su presente. Especialmente con la posibilidad de involucrarse en varios proyectos, que se desarrollan en diversos países.
Para el futuro, le interesa profundizar en los negocios internacionales a partir de la versatilidad que le da estar interactuando con actores de toda América Latina.
Luego de haber conocido a nuestro protagonista, avancemos en el análisis de su área de expertise en la cual hoy se destaca en Amazon Web Services (AWS).
¿Qué es un ataque cibernético o ciberataque?
Un ciberataque puede efectuarse de muchas maneras, por medio de diversas tácticas o técnicas. Entre ellas, la obstaculización de las vías de acceso a un sistema para impedir que sus usuarios puedan operar.
El impedimento de acceso puede tener como fin obtener información secreta, clasificada o comercial. O incluso, efectuar una extorsión para que una organización pueda volver a disponer de sus datos, pagando un rescate.
El abanico de ciberataques es amplio y mientras la tecnología evoluciona rápido, las bandas criminales digitales también avanzan con mucha velocidad.
“Mucho más rápido incluso que las empresas privadas, y obviamente más rápidos que los gobiernos”, asegura Salvador. En este sentido, resalta que los ciberdelincuentes no efectúan procesos licitatorios para comprar herramientas.
“No se toman seis meses para comprar una herramienta que les ayude a defenderse. Ellos simplemente pagan unos dólares o criptomonedas, consiguen herramientas y te atacan.
Es mucho más rápido, mucho más ágil el proceso que ellos utilizan. Mientras que, del lado de los que defienden, hay muchas barreras administrativas que complican”, advierte.
Al final del día, lo importante se resume en tres factores:
- La capacidad de adaptabilidad que tienen las organizaciones a través de sus procesos.
- Las legislaciones vigentes, que pueden facilitar u obstruir el trabajo de ciberseguridad.
- La cultura organizacional desarrollada en relación a los ataques cibernéticos, que consiste en el conocimiento general y los liderazgos que se ejercen para mejorar los estándares de ciberseguridad.
Este conjunto de factores muestra la velocidad y el ritmo en cómo una empresa está defendiendo sus activos tecnológicos y procesos de negocio digitales.
¿Cuáles son los ciberataques más comunes?
Hay tres grandes ciberamenazas o ataques cibernéticos, que son las más habituales y frecuentes:
1) Phishing: afecta tanto a las corporaciones como a las personas usuarias. Eventualmente lleva al robo de información y posteriormente a las extorsiones.
2) Ransomware: desarrolla un proceso destructivo dirigido a los datos de una organización. Puede derivar en extorsiones y pedidos de rescate.
3) Denegación de servicios: bloquea portales o aplicaciones, para que no puedan ser accedidas.
¿Qué finalidad tienen los ciberataques?
En el caso de los ciberataques que derivan en extorsiones, el objetivo reside en la promesa de cesar la agresión si se cumple con una exigencia de los criminales, que puede consistir en el pago de un rescate.
Otra motivación puede estar orientada a doblegar la capacidad de una empresa para generar pérdida de confianza y socavar su imagen.
Por ejemplo, si un banco está sufriendo un ataque cibernético, quienes utilizan sus plataformas y aplicaciones se encontrarán impedidos de hacer movimientos de dinero y transferencias. Incluso podría impactar en las tarjetas de crédito u otros sistemas de la institución.
También puede ocurrir con un gobierno u otro tipo de empresa.
La clave pasa por entender que la pregunta no es si una organización va a sufrir un ciberataque, sino cuándo y de qué manera lo experimentará. Y lo que es aún más importante, cómo está preparada para resistirlo y responder a sus consecuencias.
¿Cuál es el volumen de ciberataques?
En los últimos años América Latina viene ganando relevancia en el panorama de las amenazas cibernéticas.
En 2023 se posicionó como la cuarta región más atacada a nivel mundial, con Brasil liderando a nivel regional con un 68% de los ciberataques, seguido por Colombia (17%) y Chile (8%).
La información surge del reporte IBM X-Force Threat Intelligence Index 2024, en donde se informa que los ataques cibernéticos con mayor repercusión fueron el robo de datos y la fuga de datos, con el 32% de los incidentes.
De hecho, según el reporte EY Global Cybersecurity Leadership Insights Study, 62% de las empresas latinoamericanas sufrieron alguna filtración de datos durante el último año.
Sin duda, el nivel de agresiones cibernéticas que se producen diariamente en todo el mundo es muy elevado. Pero la intensidad varía según los sectores.
En el caso de las instituciones financieras, que son las organizaciones más comúnmente atacadas por ser grandes marcas y procesar mucho dinero, pueden sufrir 300 mil ataques al mes. Todo el día, las 24 horas.
“Los delincuentes crean robots automatizados que se dedican a atacar sin descansar, sin pestañar y sin comer”, apunta Salvador.
Para combatir estas amenazas se necesitan herramientas técnicas, profesionales capacitados y el dinero necesario para adquirir soluciones de ciberseguridad.
Si viéramos a la estrategia de seguridad como una pirámide, todos estos ítems estarían en la base.
Sin embargo, aunque pueda ser antinatural, lo que se debería construir primero no es la base de la pirámide, sino su cabeza, a partir de dos factores fundamentales:
- Cómo la cultura de una empresa permea conceptos de ciberseguridad, y los lleva a la práctica.
- Cuál es el liderazgo que se ejerce desde la plana mayor de una organización, para poner en práctica las actividades que se necesitan llevar a cabo.
En definitiva, la clave son las personas y, aunque el liderazgo corporativo esté avanzando en la concientización del papel fundamental que debe desempeñar frente a las amenazas cibernéticas, la velocidad aún no es la óptima.
En este punto vale mencionar también la importancia que tiene considerar en las estrategias de ciberseguridad los aspectos legales vinculados a la ciberseguridad y la protección de datos.
Al igual que la gobernanza de datos o data governance, como el conjunto de procesos, políticas, estándares y métricas, que se enfocan en garantizar la calidad, disponibilidad, integridad y seguridad de los datos en una organización.
Más aún teniendo en cuenta, como expresa el whitepaper Cybersecurity Futures 2030: New Foundations, que la seguridad cibernética pasará de tener que ver con la protección de la confidencialidad y la disponibilidad de la información a proteger, su integridad y procedencia.
¿Quiénes llevan la delantera en términos de ciberseguridad?
Las grandes corporaciones y los conglomerados de empresas, son las organizaciones que hoy tienen más desarrolladas sus capacidades de defensa frente a ataques cibernéticos.
En especial, se destacan la industria financiera, el ámbito del retail y las compañías mineras.
Hay otro tipo de industrias que se quedaron bastante rezagadas, como las aerolíneas y los hoteles.
Mientras que sectores relevantes como la salud y la educación, también deben mejorar fuertemente su protección.
En cuanto a las personas, hay dos drivers muy importantes que hoy día no están siendo bien desarrollados:
- Desde el ámbito educativo deberían ofrecerse recursos y recomendaciones sobre el buen uso de la tecnología.
- Desde el sector gubernamental, podrían impulsarse campañas para sensibilizar a las personas sobre cómo operar en el mundo digital de manera segura. Por ejemplo, en relación a los trámites digitales.
Seguridad por diseño: ¿Cómo compatibilizar experiencias de usuario amigables con la ciberseguridad?
En algunas organizaciones hay líderes que creen que la experiencia de usuario y la seguridad son puntos opuestos. Pero es todo lo contrario. Con Juan descubrimos que no necesitan estar en veredas opuestas.
“La práctica que hoy día se debe usar en cualquier institución que cree tecnología, es la práctica que en ciberseguridad se conoce como seguridad por diseño”, señala.
Porque, si una cultura organizacional incluye la seguridad por diseño en todos sus procesos, los factores de ciberseguridad van a ser incluidos en el roadmap de la experiencia de las personas usuarias.
No obstante, hay una discusión entre liderazgos, sobre cómo llevar a cabo la seguridad por diseño. Porque en la práctica, son equipos distintos los que ejecutan ambas funciones.
Entonces hay muchos temas de coordinación, de liderazgo y de comunicación para resolver. Pero la metodología existe y la clave para por cómo ponerla en práctica.
Recomendaciones para mejorar la resiliencia a los ataques
Las estrategias de ciberseguridad tienen que ser lideradas por la dirección corporativa de las organizaciones.
Se puede tener un gran equipo de especialistas en ciberseguridad, pero, si el impulso no viene desde arriba y si no se cuenta con un plan sólido, la empresa no logrará cumplir con sus objetivos.
“Muchas veces, especialistas y mandos medios tienen muy buenas ideas técnicas de ciberseguridad, de cómo implementar controles en los diferentes sistemas y procesos, pero no tienen la fuerza para poder ejecutarlas”, sostiene Salvador.
Aunque se tengan muy buenas ideas, no serán suficientes, si no se logra conseguir los presupuestos adecuados y que todos los equipos de la organización se integren al proyecto.
En este contexto, es importante contar con especialistas en ciberseguridad que tengan la capacidad de poner en práctica el plan impulsado desde la directiva.
Siempre recordando que la seguridad cibernética no es un tema del equipo técnico. Tiene que ver obviamente con el área de tecnología de una organización, pero también con sus unidades de negocio.
Sin esa capa de articulación, los equipos técnicos quedarían desconectados de la realidad de la empresa.
¿Qué rol juega la IA en las estrategias de ciberseguridad?
La inteligencia artificial puede ayudar a acelerar la automatización de procesos. Por ejemplo, situaciones que antes tenía que estar controlando una persona, hoy pueden ser validadas en forma automática por robots.
A un robot de IA se le puede pedir que revise documentación o un proceso puntual, entre otras tareas. Incluso, puede dar un informe en tiempo real. Una tarea que a una persona le tomaría varias horas de trabajo.
La IA puede ayudar a automatizar ese tipo de tareas y colaborar para descomprimir la falta de profesionales que existe en el ámbito de la ciberseguridad.
Estas automatizaciones van a darle más tiempo a los equipos para que puedan enfocarse en tareas en las que puedan aportar mayor valor, en vez de revisar procesos rutinarios.
¿Faltan profesionales en el ámbito de la ciberseguridad?
En el mundo faltan varias decenas de miles de personas especializadas en ciberseguridad. Son escalas bastante grandes en cuanto a demanda laboral insatisfecha, y no hay posibilidad de solucionar la brecha rápidamente.
“Si nos quedamos con la forma tradicional, por ejemplo, de capacitar gente en las universidades, probablemente nos demoremos 15 años en cubrir el gap, y cuando lleguemos a esos 15 años vamos a tener otro gap, quizás más grande”, advierte Salvador.
Una de las maneras de aplacar esa deficiencia de profesionales, es focalizarse en la parte metodológica.
En los procesos, en la seguridad por diseño y en la cultura organizacional.
En contribuir, para que los temas de seguridad no sean percibidos como cuestiones exclusivas de especialistas sino parte esencial del negocio.
Con el objetivo de reducir la brecha de talento tecnológico, desde IT Patagonia, junto a nuestro partner académico Codeki, una de las empresas de tecnología educativa más relevantes del mercado, impulsamos el desarrollo del talento multigeneracional para cubrir las necesidades de la industria.
Conclusión
La mirada de seguridad tiene que ser compartida por toda la organización.
Los equipos deben tener la misma dirección, los mismos objetivos, e incluso ser medidos por la misma vara. Algo que no ocurre en muchas organizaciones, dónde los KPIs de ciberseguridad apuntan sólo al equipo de especialistas, cuando deberían involucrar a los gerentes de negocio, para que ellos sean los que impulsen la metodología de seguridad.
En este sentido, coincidimos con Salvador en la importancia de capacitarse y entrenarse en forma continua para estar preparados frente a los ciberataques, que lejos de parar, van a seguir aumentando.
