El «Wanna Cry» impulsará las inversiones en ciberseguridad

Las grandes empresas necesitan 490.000 euros para recuperarse tras un fallo de seguridad. Y las pymes, 33.700 euros, según un informe de Kaspersky Lab.

El presupuesto medio que una gran empresa necesita para recuperarse tras un fallo de seguridad es de 490.000 euros. Y en el caso de las pymes, de 33.700 euros. Al menos, según un informe de Kaspersky Lab, del que también se desprende que las brechas más caras son el fraude de empleados, el ciberespionaje, las intrusiones en la red y los fallos de terceros.

Una factura media de gastos de una gran compañía podría desglosarse en 75.000 euros para servicios profesionales; hasta 180.000 euros en oportunidades de negocio perdidas; hasta 1,2 millones de euros por el tiempo de inactividad; 61.000 euros en gastos indirectos, y hasta 182.000 euros por la inclusión de daños a la reputación.

Sin embargo, hasta la fecha una buena parte de las empresas españolas infravaloraban la amenaza que suponen los ataques informáticos. Roberto Peña, director de Seguridad de Mnemo España, lo achaca a que no todo el mundo es consciente aún del poder de la ciberdelincuencia y de las vulnerabilidades que tienen las compañías. «A día de hoy, y con el reciente ataque se ha demostrado que con muy poco se puede hacer mucho daño. Pero en algunas compañías, sobre todo en las más pequeñas o en las menos tecnológicas, cuesta entenderlo. Ningún empresario debería menospreciar la ciberseguridad. Un ordenador o un smartphone son el eje del funcionamiento de la empresa. Y hasta que no haya consciencia de eso, muchas compañías estarán en riesgo», asegura.

Falta de conciencia

El miedo a perder datos y la revelación del nivel de desprotección al que pueden llegar a verse sometidas las empresas será determinante. El «si no lo veo, no lo creo» se ha trasladado al ámbito empresarial, donde muchos empiezan a ser conscientes del peligro que les acecha. Peña cree que el reciente ataque global favorecerá que un número importante de compañías ponga en valor la ciberseguridad y amplíe su inversión. Y que incluso las pymes tendrán que concienciarse de que para evitar perder clientes, reputación o quedar en evidencia, deberán dedicar presupuesto a garantizar que sus datos y sus procesos están a salvo. «De la misma manera que la economía está ligada a la tecnología, los ciudadanos también están viviendo su transformación digital, y no van a confiar en empresas que no garanticen la protección y seguridad de sus transacciones», apostilla.

Debido a cuestiones económicas o simplemente a desconocimiento e ignorancia, muchas empresas no son conscientes, hasta que resultan víctimas, de que su supervivencia podría estar amenazada por un golpe de clic e infravaloran unos ataques cada vez más frecuentes en la jungla digital, operando sin tener actualizados sus softwares y cometiendo descuidos a la hora de proteger los sistemas, las contraseñas y los permisos que otorgan a sus empleados para acceder a datos y documentación.

El director de Seguridad de Mnemo España afirma que esos descuidos pueden provocar ataques de denegación de servicios (DDoS), fisuras de seguridad por las que se permita el acceso de archivos fraudulentos o peligrosos, que troyanos u otros elementos de espionaje se infiltren en sus sistemas o facilitar el acceso de ataques estilo «ransomware». En este sentido, recomienda tener un buen antivirus, de pago y actualizado; formar a los empleados en las cuestiones básicas de seguridad y sentido común a la hora de manejar archivos; y plantearse un plan de seguridad gestionado por una empresa experta para garantizar la protección de todos los datos y procesos.

«Con suerte, este ataque masivo habrá servido para que las compañías empiecen a tomarse más en serio su seguridad». Eusebio Nieva piensa que las empresas españolas han tardado más que las europeas en adquirir soluciones eficaces contra los ciberataques avanzados. Pero no solo por un aspecto de concienciación, sino que insta a tener en cuenta que, debido a la crisis económica, muchas no han tenido presupuesto para invertir adecuadamente en seguridad. Y destaca que ahora que la situación ha mejorado, cada vez más organizaciones están empezando a implementar barreras realmente eficientes contra los ciberdelincuentes.

Cinco claves para las estrategias

Alfonso Ramírez cree que «WannaCry»marca un antes y un después en el mundo de la ciberseguridad, porque grandes empresas y usuarios han sido conscientes de que no solo es necesario disponer de una solución, sino que hay que mantenerla y actualizarla. Más allá de que la prevención y la concienciación se hayan revelado como factores imprescindibles para minimizar los riesgos, resalta que «la seguridad no es un estado en el que instalas la solución y te olvidas. Hay que verla como un proceso». Por ello, los expertos de Kaspersky Lab recomiendan cinco elementos a tener en cuenta en todas las estrategias de seguridad en 2017:

1. Cuidado con los ataques dirigidos: Suelen realizarse a través de terceros. Estas empresas tienen una protección débil, o incluso nula, y pueden ser utilizadas como punto de entrada del «malware» o de los intentos de «phishing».

2. No subestimar los ataques menos sofisticados: Los cibercriminales pueden atacar a un gran número de objetivos y aprovechar la escala utilizando herramientas sencillas. La ingeniería social podría llegar a representar el 75% de los incidentes fraudulentos, mientras que apenas el 17% tienen su origen en el malware.

3. No primar el cumplimiento sobre la protección: Pese a que los presupuestos suelan primar el cumplimiento, fortalecer la seguridad e introducir nuevas tecnologías de protección exige un enfoque de asignación de recursos más equilibrado.

4. Realizar tests de penetración de modo regular: Las vulnerabilidades invisibles son reales. Con la puesta en marcha de sofisticadas herramientas de detección y de test de penetración, pueden aparecer.

5. Prestar atención a las amenazas internas: Los empleados pueden ser víctimas de los cibercriminales o tomar la decisión de convertirse en uno de ellos. Las estrategias de seguridad efectivas no deben centrarse exclusivamente en el perímetro de protección, sino que tienen que incluir técnicas que permitan detectar actividades sospechosas dentro de las empresas.