La ciberseguridad

Lucas Marsden-Smedley Rodríguez

Consultor ‘senior’ de FTI Consulting

Cuando hablo con la gente sobre la situación política de Colombia, la conversación tiende a centrarse en cuestiones nacionales e internas. Se habla poco de las fuerzas geopolíticas en juego. Esto parece ser el resultado de una falta de visibilidad sobre la naturaleza de los intereses externos y las amenazas a las que se enfrenta Colombia.

Una de las formas más destacadas en las que se han materializado estas amenazas son los ciberataques. En el 2022, se reportaron más de 54.000 incidentes cibernéticos, un incremento del 380 % desde el 2021. Los ataques proceden de fuentes diversas y con intenciones divergentes, tanto interna como externamente.

Colombia se encuentra en la mira por varias razones. La primera es la tecnología heredada. Hemos visto muchos casos de ciberatacantes que utilizan programas maliciosos de hace más de un año y aprovechan vulnerabilidades que deberían haber sido solventadas. El presupuesto es una limitación importante: la mayoría de los equipos cibernéticos con los que hablo se describen a sí mismos como faltos de personal y desbordados. Los centros de operaciones de seguridad (SOC, por su sigla en inglés), aunque están creciendo de forma masiva en Colombia, son predominantemente subcontratados, al igual que los directores de seguridad de la información (CISO, por su sigla en inglés). Con poco dinero para invertir internamente, los CISO virtuales se han convertido en una oferta popular.

Sin embargo, más que estas limitaciones tecnológicas y financieras, he descubierto que la cuestión se reduce fundamentalmente a la cultura. Con un costo promedio de 2,8 millones de dólares por una brecha cibernética en América Latina, es una estrategia más rentable y basada en el riesgo realizar la inversión inicial. Sin embargo, más de tres cuartas partes de los casos que vemos son de respuesta a incidentes, no ejercicios preventivos. En una conversación con un CSO exasperado, se quejaba de la mentalidad “de no ver, no creer” que impide a algunas organizaciones crear procesos de forma proactiva. Hasta que no se produce un ciberataque, la gente no presta atención a las tecnologías de la información.

La solución a este problema es doble. La primera es la educación. Recibo alrededor de un mensaje de texto fraudulento a la semana, pero sé que no debo reaccionar, porque he recibido formación sobre cómo detectar el spam. Lamentablemente, estos ataques se dirigen a los más vulnerables de la sociedad, aquellos a los que no se les ha enseñado a diferenciar entre lo real y lo falso.

A nivel corporativo, la formación de los empleados es esencial para evitar las cibertrampas. El ser humano es el eslabón más débil de la cadena, y la mayoría de los fraudes que vemos se deben a errores humanos, ya que los empleados revelan información sin darse cuenta o entregan las claves de los sistemas de la empresa. Alrededor del 70 % de los ciberataques en Colombia se originan desde adentro, algunos de ellos maliciosamente, pero la mayoría de manera involuntaria. 

La segunda solución son las políticas. Los procedimientos de gestión de riesgos pueden impedir que un empleado ejerza un poder excesivo sobre las finanzas de la empresa. Esto garantiza que, incluso si una persona es engañada o actúa con malas intenciones, los controles puedan detectar de raíz el comportamiento irregular y evitar transacciones no aprobadas o fugas de datos. Los programas de cumplimiento de las empresas son cruciales y, por desgracia, a menudo se aplican de forma endeble. Las empresas colombianas que deseen fomentar la inversión extranjera deben asegurarse de que sus productos se ajustan a las normas internacionales, como el marco del NIST.

En general, la educación y las políticas son dos piezas importantes del rompecabezas que deben incorporarse a una estrategia de ciberseguridad plurianual y creadora de valor. Abordar los problemas cibernéticos de forma aislada no dará resultados. Las empresas necesitan una visión panorámica de dónde se encuentran y hacia dónde quieren ir.