La importancia de informar sobre incidentes de seguridad

“Si ves algo, di algo”, es el lema del Departamento de Seguridad Nacional. Es un lema que también es muy relevante para garantizar que nuestros sistemas y datos estén seguros. Para tener un programa de ciberseguridad eficaz, se necesitan ojos y oídos en todas partes.

Todos los miembros del personal deben participar, ya que el departamento de TI simplemente no tiene los recursos para poder identificar todos los incidentes de seguridad que ocurren en su red. Antes de continuar, aclaremos qué se entiende por "incidente de seguridad".

Un incidente de seguridad puede ser cualquier cosa, desde un ataque de malware hasta un empleado que hace clic en un correo electrónico de una entidad que no es de confianza. Podría ser que alguien pierda una unidad USB que contiene datos valiosos de la empresa o que alguien obtenga acceso no autorizado a datos confidenciales a través de un medio u otro.

Lo importante a tener en cuenta es que un incidente de seguridad es cualquier cosa que haya puesto o podría haber puesto en riesgo nuestros sistemas críticos o datos confidenciales. Por ejemplo, no tenderíamos a pensar que un empleado que pega una nota adhesiva en el monitor de su computadora con una contraseña, o un empleado que comparte sus credenciales sin otro miembro del personal, se clasificaría como un incidente, ya que es probable que no se hizo ningún daño.

Sin embargo, a todos los efectos, se trata de incidentes de seguridad. Por supuesto, no sería realista esperar que alguien denunciara a un colega que también era un amigo cercano; sin embargo, al menos deberíamos alentarlos a comunicarse entre sí cuando vean un riesgo potencial para la seguridad.

¿Por qué es importante denunciar incidentes de seguridad?

Podría haber consecuencias muy graves si no lo hiciera. Podría haber una pérdida significativa de confianza en el negocio, lo que resultaría en una pérdida de ingresos. Podría haber implicaciones legales, como demandas y multas cuantiosas. En algunos casos excepcionales, un incidente de seguridad puede provocar daños físicos reales. Esto es especialmente cierto cuando se trata de ciberataques al sector sanitario.

Como probablemente sepa, los proveedores de servicios de atención médica con frecuencia son víctimas de ataques de ransomware y es posible que estos ataques se hubieran evitado si alguien hubiera informado haber visto un correo electrónico sospechoso. También se sabe que los piratas informáticos han manipulado equipos médicos vitales, como los sistemas de ventilación. Y por supuesto, sufrir un incidente de seguridad de algún tipo, puede generar angustia emocional, para todas las partes involucradas.

¿Quién tiene más probabilidades de facilitar un incidente de seguridad?

Seamos realistas, los accidentes ocurren y nos suceden a todos. La víctima (o el perpetrador, según sea el caso), podría ser alguien de cuentas o de RRHH. Podría ser un desarrollador web o simplemente un empleado normal.

Aunque es menos probable, un incidente de seguridad podría incluso ser causado por un responsable superior de seguridad de TI. Todos tenemos nuestros días libres. Dicho esto, realmente depende del tipo de empresa y de los motivos del atacante. Si se trata de un ataque de ransomware, el atacante se dirigirá a las organizaciones que tienen más probabilidades de pagar y que probablemente pagarán grandes sumas de dinero. También intentarán apuntar al eslabón más débil, que suele ser un empleado regular.

Si se trata de un ataque de compromiso de correo electrónico empresarial (BEC), probablemente se dirigirán al departamento de cuentas o a cualquier persona que pueda autorizar transacciones financieras. Los atacantes suelen utilizar una técnica llamada “spear phishing” que, como su nombre indica, está diseñada para apuntar a personas específicas de una empresa.

Los atacantes suelen dedicar tiempo a investigar a sus víctimas antes de iniciar un ataque. En cuanto al tamaño de la empresa, realmente no importa. Según el Informe de investigaciones de vulneración de datos de Verizon (DBIR) de 2019, el 43 % de los ciberataques se dirigen a pequeñas empresas.

¿Cuáles son los incidentes de seguridad más comunes a los que debemos prestar atención?

Si bien existen muchos incidentes de seguridad diferentes que podrían desarrollarse, como ataques Man-in-the-Middle (MitM), DDoS, inyección SQL, XXS, etc., este tipo de incidentes no serán detectados ni informados por los empleados regulares. . En el caso de un ataque DDoS exitoso, por ejemplo, los empleados sólo se enterarán cuando no puedan acceder a la red de la empresa. En el contexto de la notificación de incidentes, debemos centrarnos más en el comportamiento de nuestros empleados. Los tipos más comunes de amenazas internas incluyen:

Enviar datos confidenciales por correo electrónico al destinatario equivocado
Empleados que descargan archivos adjuntos maliciosos o visitan sitios web maliciosos
Empleados que acceden a datos confidenciales, sin la autorización adecuada
Empleados que revelan sus credenciales por accidente
Los empleados comparten sus credenciales con otros miembros del personal.

Incidentes de seguridad física

Por supuesto, no todas las amenazas a la seguridad de los datos se originan en línea, por lo que también debemos estar atentos a la hora de identificar y reportar incidentes de seguridad física que vemos en el lugar de trabajo.

Si bien un incidente de seguridad física podría ser el ingreso de un miembro no autorizado del personal a la sala de servidores, también puede incluir otros incidentes menos obvios, como puntos de acceso Wi-Fi públicos no seguros, tal vez en la cantina o el vestíbulo. O el uso de dispositivos personales no autorizados en el lugar de trabajo.

Sin embargo, prohibir el uso de dispositivos personales en el lugar de trabajo no sólo sería una medida muy impopular, sino que sería prácticamente difícil de aplicar. Siempre que estos dispositivos no se utilicen para conectarse a la red de la empresa, no debería ser un gran problema.

¿Se informan los incidentes con suficiente frecuencia?

¡La respuesta corta es no! Según un informe de ISACA de 2019, “la mitad de los encuestados cree que la mayoría de las empresas no denuncian los delitos cibernéticos, incluso cuando es necesario hacerlo”. Hay varias razones por las que tanto los empleados como las organizaciones pueden mostrarse reacios a informar incidentes de seguridad.

A menudo ocurre que las personas notan un incidente de seguridad, pero no creen que valga la pena informarlo, ya que no parece gran cosa. Por supuesto, puede que no sea un gran problema, pero muchos incidentes que no lo son, pueden convertirse rápidamente en un incidente que sí lo es.

En algunos casos, las personas no informan de los incidentes por el motivo exactamente opuesto. Por ejemplo, tanto el empleador como el empleado pueden temer las consecuencias de denunciar un incidente de seguridad, en caso de que resulte ser un problema importante.

El empleado estará preocupado por la posibilidad de perder su trabajo, asumiendo que fue responsable del incidente de alguna manera. Y el empleador estará preocupado por la reputación de su empresa y las ramificaciones financieras y legales de revelar información sobre un incidente de seguridad.

En algunos casos, las personas simplemente no saben cómo denunciar incidentes de seguridad. O no han sido informados, o no recuerdan haber sido informados, sobre los protocolos a seguir en caso de incidente.

Como puede ver, es una situación sin salida. La gente no quiere denunciar incidentes de seguridad por temor a las consecuencias de hacerlo. Sin embargo, no informar de los incidentes de seguridad aumentará inevitablemente tanto la probabilidad como la gravedad del próximo incidente de seguridad. Esto es esencialmente lo que hay que explicar tanto a los empresarios como a los empleados. Se remonta al viejo dicho de que la honestidad es la mejor política.