¿Qué problemas de seguridad le quitan el sueño a las empresas?

Una de las cosas que más perturba el sueño de un responsable de la seguridad informática de una gran empresa es una fuga masiva de datos. Y desgraciadamente, para los Chief Information Security Officers o CISO, esta es una realidad cotidiana con la que tienen que lidiar.

Cada día se pierden o se roban más de cinco millones de perfiles personales. Los datos de las mayores fugas de información o data leaks de la historia dan que pensar. Una de las más graves de los últimos años ha sido la que sufrió en Septiembre de 2017 Equifax, proveedor de información comercial y de crédito, que afectó a casi 148 millones de cuentas. Los hackers se hicieron con direcciones postales, números de carnets de conducir y perfiles financieros

Sin ir más lejos en el tiempo y espacio, hace sólo unas semanas, el IESE tenía que admitir que había sido objeto de varios ataques. Los hackers accedieron a bases de datos de la prestigiosa escuela de negocios entrando por un servidor antiguo cuya misión era mantener una de las páginas web de la institución.

Una fuga de datos puede tener grandes consecuencias, y también, tras la entrada en vigor definitiva del GDPR, el reglamento europeo de protección de datos, puede obligar a la empresa afectada a pagar multas millonarias de decenas o cientos de millones de euros. Por eso,  preservar la confianza de los clientes es una de las misiones más importante que tienen entre manos los CISO.

El perfil técnico del CISO

Los incidentes de seguridad que llegan al dominio público son una pesadilla para los CISO porque requieren de unas dotes de comunicación con las que ellos generalmente no cuentan,  porque, por lo general, suelen tener un perfil bastante técnico.

El perfil de CISO es uno de los perfiles tecnológicos más pujantes de los últimos años, rivalizando muchas veces protagonismo con el propio CIO, el jefe máximo de la informática en las grandes empresas. Hasta no hace mucho, el responsable de la seguridad informática era uno más en el equipo tecnológico, pero hoy en día es una estrella cuya voz empieza a ser escuchada en los máximos órganos de dirección de la compañía.

Esto es así desde hace relativamente poco tiempo, porque en el pasado su labor se limitaba a procurar los sistemas, como antivirus o cortafuegos, que defendían a las compañías de los ataques exteriores. Pero hoy el CISO no sólo es el encargado de preservar la integridad y el control de los datos corporativos, de él también depende la gestión de esa información.

Conocimientos legales y de negocio

A día de hoy, al CISO se le pide que combine su perfil técnico con el de un hombre de negocios. Y que incluso se empape de las cuestiones legales que cada vez marcan más la gestión de la información en las compañías. Un buen CISO debe conocer en profundidad la ISO 27001, que describe cómo gestionar la seguridad de la información en las empresas, pero también la Ley Orgánica de Protección de Datos, LOPD, y el GDPR, que endurece las multas por fugas de información y obliga a ser más transparentes a la hora de comunicar estos episodios a los usuarios. Debe estar al tanto de otras certificaciones internacionales en materia de auditoría de seguridad.

Por otra parte, al CISO también se le exige que lidere cambios en los procesos de las compañías y en los hábitos de los empleados. Y es que, en muchas ocasiones, el mayor enemigo de la seguridad corporativa no está en los hackers que viven a miles de kilómetros y actúan desde países permisivos en materia de fraude, sino que está dentro, en los propios empleados que, por descuido o desconocimiento, se conviertes en la primera puerta de entrada del malware. Son los llamados “malicious insiders”.

Un ejecutable en un e-mail aparentemente normal puede desembocar en una crisis. Uno de los tipos de ataque que más ha dado que hablar en los últimos años, el ransomware, que cifra los datos del cisco duro, muchas veces ha proliferado desde e-mails insignificantes. Es lo que lleva años pasando con el phishing.

Por eso, los CISO y los equipos de seguridad de las compañías tienen el trabajo extra de promover la concienciación en la plantilla sobre la importancia de la seguridad, desde el consejero delegado al último subalterno.

Otro de los asuntos que complican la vida a un CISO es la cantidad de hardware y software que hay en una gran empresa y tiene que ver con la seguridad, desde los tradicionales antivirus de los PC y portátiles, a los cortafuegos de la red, pasando por las soluciones destinadas al correo, las redes WiFi, la nube, la gestión de accesos o la generación de copias de respaldo (backup), entre otras cosas.

En el mercado, un CISO tiene disponible cientos de proveedores con miles de tecnologías y referencias de producto. Esto supone un reto para el profesional de la seguridad, que tiene que actualizarse casi a diario en materia de ataques, pero también debe poner al día sus conocimientos sobre las tecnologías a su alcance para hacerles frente.

Fuente: https://hablemosdeempresas.com