Por: Felipe Gómez, LATAM Manager de Fluid Attacks.
En plena transformación digital, con cada vez más productos y servicios ofrecidos a través del entorno cibernético, los criminales tienen a su disposición un abanico cada vez más amplio de objetivos de ataque. Por fortuna, la exposición al riesgo en el empleo de la tecnología de la información es una variable que se puede gestionar. Las empresas que entienden, priorizan y minimizan los factores de riesgo, como las vulnerabilidades de seguridad en su software, pueden mostrar gran solidez ante la creciente ola de amenazas.
Desde una postura preventiva se recomienda a las organizaciones las siguientes buenas prácticas de ciberseguridad para el 2023:
- Introducir principios de seguridad desde la primera línea de código: Si una empresa está encargada de desarrollar y modificar software para sí misma o para otros, debería aplicar con su equipo de desarrollo la escritura de código seguro desde el principio. Lo recomendable es que tengan como base estándares internacionales de seguridad, incluyendo requisitos que se acomoden a su industria en particular, y atiendan debidamente a factores como la validación de inputs, la gestión de la autenticación, los controles de acceso, el cifrado de la información confidencial, el reporte de errores, entre otros.
- Evaluar la seguridad de su tecnología ininterrumpidamente: Los productos y servicios tecnológicos evolucionan de forma acelerada, y las amenazas están en acecho continuo. Gracias a las pruebas de seguridad se logra reconocer qué es aquello que los cibercriminales pueden impactar y de qué manera, en los sistemas cambiantes de una empresa. Recomendamos recurrir a ellas de forma constante, sin limitarse al escaneo de vulnerabilidades conocidas con herramientas automatizadas. También, es necesario solicitar la aplicación constante de evaluaciones con hacking ético, que permitan hacer un análisis más profundo, detectar vulnerabilidades desconocidas y disminuir las tasas de falsos positivos y falsos negativos.
- Resolver los problemas de seguridad tan pronto sea posible: Los hallazgos de las pruebas de seguridad deben ser priorizados, según el riesgo que representen, para en ese orden llevar a cabo su remediación. El esfuerzo de los equipos de seguridad en las empresas debe centrarse primero en solucionar las vulnerabilidades explotables y de severidad más alta, antes de pasar a enfocarse en aquellas que, independientemente de que sean más, impliquen menos costos al ser aprovechadas por los delincuentes.
- Conocer y actualizar los componentes y árboles de dependencia: Todo software de terceros que haga parte de los productos y sistemas de la empresa debe ser conocido y estar dentro de un inventario. Adicionalmente, este material debe mantenerse actualizado en sus últimas versiones, las cuales podrían ya haber resuelto las vulnerabilidades previamente conocidas.
- Incluir expertos en ciberseguridad dentro de las juntas directivas: La seguridad tecnológica debe ser un asunto prioritario en las discusiones y estrategias empresariales. Incluir profesionales con conocimiento y experiencia en el área de ciberseguridad puede ayudar a inculcar en una empresa un mayor compromiso por la protección de operaciones y activos, generando en los inversores y clientes confianza y tranquilidad.
- Educar a los empleados en seguridad: Dentro de la cultura DevSecOps, actualmente en auge, la ciberseguridad no debe ser responsabilidad de unos pocos equipos de profesionales. Todos los empleados de una empresa deben ser conscientes que pueden ser objeto de un ciberataque. Cada persona necesita recibir educación sobre cómo detectar y reportar intentos de phishing u otras formas de ingeniería social. Además, las organizaciones requieren implementar el uso de contraseñas complejas, el cambio constante de estas y la autenticación multifactor para todas las cuentas online en correos electrónicos, redes sociales y otras aplicaciones o servicios.
Es recomendable seguir disfrutando de los beneficios de la tecnología de la información, pero manteniendo al mínimo la exposición al riesgo. Todas las empresas pueden ser víctimas de ciberataques, pero, asimismo, es posible prepararse para que estos no sean exitosos o que sus impactos no representen costos elevados. No se trata de esperar a sufrir por culpa de incidentes de ciberseguridad para que esta sea asumida como prioridad empresarial.