Ciberataques a empresas en Colombia: la pregunta ya no es si ocurrirán, sino cuándo

Aunque una parte importante de este fenómeno se explica por las facilidades que ofrecen las redes sociales para difundir mensajes maliciosos, las nuevas tecnologías, especialmente la inteligencia artificial, han acelerado aún más estas prácticas. La automatización de tareas y la capacidad de generar código han reducido las barreras de entrada para personas que, hace algunos años, difícilmente habrían podido escribir por sí mismas una sola línea de código malicioso.

Es por lo anterior que para Claudio Martinelli, director general de Kaspersky para las Américas, la pregunta ya no es si una persona o empresa recibirá un ataque informático, sino cuándo.

En entrevista con El Espectador, este especialista en seguridad informática habló del panorama de estas amenazas en la región y qué deberían estar haciendo las compañías para mitigar los riesgos.

¿Cuál es el análisis que hace al mirar el panorama de la ciberseguridad en las empresas colombianas?

Hemos visto que muchas empresas invierten un presupuesto considerable en ciberseguridad, pero no de forma efectiva. Esto provoca que un gran presupuesto no se traduzca en un beneficio o en un nivel de protección adecuado.

Desde nuestro punto de vista, lo ideal es que todas las áreas relacionadas con la ciberseguridad estén coordinadas bajo una misma organización, con autonomía, autoridad y comunicación directa con el presidente y la junta directiva de la empresa. Hoy, en muchas compañías, la seguridad está fragmentada: un equipo se encarga de proteger los dispositivos que se conectan a la red, como computadores y celulares; otro controla los firewalls, que funcionan como barreras frente a conexiones sospechosas; otro administra las contraseñas y accesos, mientras Recursos Humanos se ocupa de capacitar a los empleados. El problema es que, cuando estas funciones trabajan por separado, puede ser más difícil tener una visión completa de la seguridad de la empresa.

Cuando algo pasa, ¿de quién es la responsabilidad? ¿Quién es el agente de solución? Esto hay que cambiarlo, especialmente en empresas más grandes, complejas y con estructuras distribuidas en zonas territoriales amplias.

Es necesario contar con un Centro de Operaciones de Seguridad (SOC, por sus siglas en inglés) integrado, habilitado con cuatro componentes fundamentales:

1. Capacitación de talento humano: No hay ciberseguridad sin el factor humano. Por más que digan que la inteligencia artificial lo hará todo, no es verdad; hay que ponerle frenos, guías, dirección y determinar el modelo de negocio para la IA.
2. Inteligencia de amenazas: Conocer qué pasa fuera de nuestras fronteras que pueda llegar aquí. Si soy un banco, debo saber qué ocurrió con un banco en Brasil o México que pueda replicarse. Como decía mi abuela, inteligente es aquel que aprende de los errores ajenos. Esto implica conocer el origen de las amenazas (Rusia, China, Ucrania, África, Brasil, etc.). Latinoamérica no es solo consumidora de amenazas, también es creadora, normalmente de corte financiero.
3. Soluciones integradas: Herramientas que conversen entre sí, se potencialicen y no dejen brechas de protección derivadas de políticas contradictorias que los criminales puedan aprovechar.
4. Procesos y políticas organizadas: Si ocurre un incidente, se debe contar con un protocolo claro. Debe existir una comunicación preestablecida para la prensa, las agencias de control, el público y los accionistas. Los procesos y políticas son fundamentales para orquestar la inteligencia, la capacitación humana y las soluciones bajo el SOC.

Ya no es posible actuar en ciberseguridad sin colaboración; la colaboración es la palabra clave.

¿Y si hablamos de micro y pequeñas empresas? Porque a fin de cuentas estas representan más del 98 % del tejido empresarial colombiano

Para las pequeñas y medianas empresas, la solución es la externalización: definir las políticas y procesos, pero contar con integradores de servicios y soluciones que compartan su experiencia entre varias empresas para reducir costos y complejidad. Ellos son los especialistas.

En Colombia hay varios negocios de este tipo que integran nuestras soluciones e inteligencia, añaden su capa de servicios y la proveen a empresas medianas, permitiéndoles acceder a un servicio especializado, rápido y efectivo. Incluso la implementación es más rápida con el apoyo de un tercero.

Pero ojo: siempre digo que se puede tercerizar la operación, pero nunca la gobernanza ni la responsabilidad. Por ley, los datos son tuyos. Aunque otra entidad los procese, tú eres el responsable de la información de tus clientes, empleados y colaboradores. Imagina un laboratorio de análisis clínicos y la cantidad de información sensible que maneja; no puede simplemente desligarse.

Para las empresas más pequeñas, se debe contar con soluciones automatizadas que operen sin intervención humana en el 99,9% de los casos. Las pequeñas empresas son menos complejas y no están tan distribuidas; normalmente el dueño hace también de jefe de tecnología. Él no puede ni va a preocuparse por cómo funciona el antivirus de su empresa. Esto debe operar de forma automatizada mediante machine learning, IA, reportes y alertas.

Comprar una tecnología muy sofisticada para una empresa pequeña es tan equivocado como comprar una tecnología muy sencilla para una empresa grande. Existen niveles adecuados de protección para cada tamaño de empresa y de presupuesto.

Lo importante es elegir la solución correcta según el tamaño, la complejidad y la madurez. Comprar algo muy complejo sin tener quién lo maneje es como comprar un Ferrari sin saber conducir: te estrellarás en la primera curva. Es un equilibrio entre la sofisticación de las amenazas, la estructura y la protección adecuada.

Muchos empresarios piensan “esto nunca me va a pasar a mí” ¿Qué decirles?

En ciberseguridad la pregunta no es si va a pasar un incidente, sino cuándo. Es como un terremoto: va a ocurrir y el edificio debe tener cimientos preparados.

El mayor desafío que veo es la falta de comunicación interna y de protocolos claros sobre qué hacer ante un incidente. A veces un equipo quiere restaurar el respaldo inmediatamente, lo cual es un error si antes no se investiga: si el malware sigue activo, dañará el respaldo; o si se formatean los equipos rápidamente, se pierde el rastreo para descubrir la causa raíz y prevenir futuros intentos.

Debe existir una secuencia de hechos, un protocolo y un proceso configurado previamente que todos sigan (Red Team, Blue Team, equipo de ciberseguridad, etc.): aislar las conexiones, activar el protocolo correspondiente, entre otros pasos.

Es un error creer que solo afecta a las grandes, ya que las pequeñas forman parte del mismo ecosistema. Recuerdo el caso de un proveedor de mantenimiento de aire acondicionado de solo 30 empleados que fue la puerta de entrada al sistema de manufactura de una gran industria.

Aquí hay una responsabilidad compartida:

1. Las grandes empresas deben transmitir los protocolos de seguridad a sus proveedores pequeños y canales (como aseguradoras con sus corredores o aerolíneas con las agencias de viajes).
2. Las pequeñas empresas deben organizarse en asociaciones o gremios (como ACOPI u organizaciones de comercio y corredores). Estas asociaciones pueden consolidar y proveer información y soluciones de ciberseguridad a sus afiliados.
3. Apoyarse en proveedores y socios de tecnología. En Colombia tenemos más de 400 socios de negocios que ofrecen nuestras tecnologías e inteligencia adaptadas a las pymes. Un fabricante de bolsos debe enfocarse en el cuero y las cremalleras, no en la ciberseguridad; por ello debe contar con un socio de confianza que lo asesore.

¿Cómo pueden las pymes aterrizar la ciberseguridad a su realidad y entender que no es algo inalcanzable, especialmente cuando los ataques que sufren no suelen trascender públicamente?

Durante mucho tiempo la propia industria la convirtió estos temas en algo tan complejo como una ciencia de cohetes. Pero esa complejidad la debemos digerir nosotros, no la pyme. Para la pyme la solución debe ser automatizada y sencilla de operar. Esa es la tarea de nuestros socios de negocios: desmitificar y compartir que hay ciberseguridad para cualquier tamaño, complejidad y presupuesto, desde 5 hasta 50.000 dólares al mes.

¿Qué tendencias ve en términos de amenazas?

El ransomware y los delitos financieros siguen siempre presentes, nunca bajan. En paralelo, hemos visto crecer los ataques a sistemas gubernamentales para obtener datos de ciudadanos y un mayor interés en sistemas industriales (Operational Technology).

Además, la inteligencia artificial está permitiendo crear sitios falsos casi indistinguibles de los reales y ha incrementado el volumen y la sofisticación de las amenazas. La IA no necesariamente crea ataques radicalmente nuevos, pero permite replicar un ataque efectivo miles de veces, mejorando correos de phishing o personalizando mensajes masivos utilizando bases de datos.

La buena noticia es que la inteligencia artificial que utilizamos desde hace años es capaz de reconocer estas amenazas creadas por la IA de los criminales, porque siempre dejan un rastro o huella digital.

Otra tendencia muy fuerte es el ciberespionaje, especialmente en sectores como energía y petróleo, debido a la fluctuación de las commodities en tiempos de conflicto. Conocer la producción petrolera real de un país es clave para los mercados, por lo que hemos visto un incremento de espionaje en países latinoamericanos como Guyana, Perú, Venezuela, Brasil, México y Colombia.

Mencionaba el uso de la inteligencia artificial para automatizar, pero ¿se está usando también por parte de personas sin conocimientos avanzados de programación para generar malware?

Sí, mucho. Personas sin conocimientos avanzados le piden a la IA adaptar un malware existente para atacar a otra entidad o mejorar un correo de phishing para que sea impecable y personalizado.

Sin embargo, como mencionaba, aún logramos reconocerlos. Detrás hay códigos previos, indicadores de compromiso (IoC) o direcciones IP que nos conectan con amenazas ya identificadas.

Entonces, si nuestros robots identifican una amenaza en un cliente en Hungría, en cuestión de minutos ese antídoto está disponible en nuestras herramientas para todo el mundo. Eso es sumamente positivo. Hoy en día, aproximadamente el 80% de la inteligencia de nuestras soluciones no está guardada en una caja, un software o una instalación local, sino en la conexión global que nos permite obtener un veredicto y responder en segundos: diciendo "no visites ese sitio porque es falso", "no ejecutes ese programa porque es dañino" o "no abras este correo porque contiene código malicioso".

Diría que en Colombia hace falta un mayor compromiso de la academia en la formación de talento en ciberseguridad. Te lo puedo decir como padre de tres hijos: es una carrera brillante y muy bien remunerada. Si en el futuro tienes hijos o si tú mismo deseas estudiar ciberseguridad, puedo asegurarte que hay espacio para muchísima gente en este sector.

💰📈💱 ¿Ya se enteró de las últimas noticias económicas? Lo invitamos a verlas en El Espectador.