Los CISOs en 2021: Cómo afrontar que no haya tanta calma después de la tempestad

Si 2020 supuso un auténtico terremoto, 2021 está siendo el año de las réplicas. El reto inicial de desplegar y proteger entornos remotos con poca anticipación se ha superado en gran parte. Ahora, sin embargo, los CISOs se enfrentan a dar soporte a estos entornos a largo plazo, además de a los entornos híbridos; y todo ello mientras disuaden a unos ciberdelincuentes cada vez más sofisticados y envalentonados por este último año de alteración e incertidumbre.

El resultado es una amplia variedad de amenazas cuyos métodos se centran en usuarios con unas condiciones de trabajo relativamente nuevas y a través de una superficie de ataque mucho mayor. No es de extrañar que en todo el mundo los CISOs sientan presión.

En España, la mitad de los CISOs (50%) siente que podría sufrir un ciberataque material en los próximos 12 meses. Aún más preocupante es que, a pesar de conocer este riesgo, muchos no están preparados: el 53% considera que su organización no está lista para hacer frente a un ciberataque dirigido en 2021.

Con los acontecimientos del año pasado todavía frescos en la memoria, estas opiniones no parecen sorprendentes. Sin embargo, ahora que todos queremos dejar atrás la pandemia, las organizaciones tienen que poder controlar este nuevo panorama de amenazas.

Tenemos que comprender quiénes son los miembros de nuestras organizaciones más vulnerables a los ataques, los tipos de ataques a los que probablemente se enfrenten y cómo todos, desde el CISO hasta el equipo de RRHH, tienen un papel que desempeñar para mantener esos ataques a raya.

Afrontando amenazas antiguas y nuevas

Tras un año turbulento, no es difícil entender por qué los CISOs se sienten bajo una tensión considerable mientras se adaptan a nuevos entornos de trabajo y normas de comportamiento. Y, aunque la disyuntiva entre la concienciación de los riesgos en ciberseguridad y la preparación para un ataque es preocupante, también resulta comprensible.

Las organizaciones modernas se enfrentan a una serie de amenazas potenciales y los ciberdelincuentes siguen aprovechándolas todas, tanto las antiguas como las nuevas. Entre los ataques que más preocupan en este momento a los CISOs españoles se encuentran el Business Email Compromise (25%), el phishing (24%) y el compromiso de cuentas cloud (22%), junto con las amenazas internas y el ransomware (ambos con un 19%). Aun así, sorprende que un 12% de los responsables de seguridad en España no sepa predecir cuáles serán las mayores amenazas que vendrán como consecuencia de la incertidumbre por la pandemia.

Lo cierto es que no existe una defensa única contra amenazas tan variadas. Aunque algunas herramientas y controles técnicos pueden proteger contra más de un estilo de ataque, son solo uno de los aspecto de los muchos que componen una defensa eficaz.

Una estrategia de ciberseguridad moderna debe tener como núcleo la formación en seguridad. Y, para que tenga el máximo impacto, esta formación debe estar hecha a medida y ser adaptable, no solo a determinadas amenazas, sino también a los usuarios que están en primera línea. La falta de conocimiento sobre cuáles son los usuarios más vulnerables y qué tipos de ataques son a los que pueden enfrentarse hace muy difícil priorizar una estrategia de ciberdefensa.

Conseguir esa comprensión es cada vez más complejo con el trabajo híbrido, los horarios flexibles y los múltiples puntos de acceso que se han convertido en algo habitual.

Solucionando el problema desde dentro

Por supuesto, los retos a los que se enfrentan los CISOs de hoy en día no se concentran en un solo frente. Los que reciben los ciberataques son tan preocupantes como los que están detrás de ellos.

El 68% de los CISOs españoles cree que el error humano es la mayor vulnerabilidad en ciberseguridad de su organización. La filtración de datos de forma deliberada (amenaza interna maliciosa), hacer clic en enlaces maliciosos, descargar archivos comprometidos, así como reutilizar o no cambiar contraseñas son algunos de los problemas que quitan el sueño a los CISOs.

Ahora que muchos usuarios trabajan en remoto, al menos parte del tiempo, estas preocupaciones son más urgentes que antes. De hecho, el 63% de los CISOs en España opina que el teletrabajo ha hecho que su organización sea más vulnerable a los ciberataques. Y es fácil ver por qué.

Los entornos no corporativos tienden a hacernos más propensos a los errores y a las equivocaciones. Trabajar desde casa también hace que alteremos ligeramente las mejores prácticas de seguridad. El uso de redes y dispositivos personales puede requerir mayores protocolos y protecciones. A esto se suma que, desgraciadamente, solo el 58% de los CISOs españoles piensa que los empleados entienden su papel a la hora de proteger la empresa frente a ciberamenazas.

Esto tiene que cambiar y rápido. Las alteraciones causadas por la pandemia nunca han sido una cuestión aislada. No hay una vuelta a la normalidad. La forma de trabajar se ha visto alterada para siempre, y eso no es malo. Al mismo tiempo que reimaginamos los entornos de oficina, permitiendo que nuestra gente se apropie más de su forma de trabajar, tenemos la oportunidad de hacer lo mismo con la ciberdefensa. Hay que crear estrategias que reconozcan el papel vital que desempeñan nuestros empleados para mantener nuestras organizaciones seguras.

Construyendo una defensa para un futuro mejor

Las luchas de los CISOs durante el último año y medio han sido ampliamente documentadas. Pero a pesar de la magnitud de los desafíos recientes, muchos tienen una perspectiva positiva para los próximos años.

Dos de cada tres CISOs en España (65%) se ven capaces de resistir y recuperarse mejor de los ciberataques en 2023. Y casi todos tienen la intención de mejorar sus ciberdefensas para hacerlo posible. La mayoría prevé incrementar la concienciación sobre seguridad de los empleados, perfeccionar también los controles de seguridad básicos, así como consolidar las soluciones y controles de seguridad existentes.

Sean cuales sean las características físicas o virtuales del lugar de trabajo, las personas siempre estarán en el centro. Y, estén donde estén, es probable que sigan estando en el punto de mira de los ciberdelincuentes, ya que más del 90% de los ataques requiere interacción humana para tener éxito.

De esta manera, sean cuales sean las amenazas a las que se enfrenten los CISOs hoy, mañana o dentro de dos años, las personas constituyen la última línea de defensa vital. Construir esta defensa significa crear una fuerza de trabajo vigilante y bien informada, ya sea en la oficina, en casa o en cualquier otro lugar.

Cuanto más entienda cada usuario sobre las amenazas a las que se enfrenta, los métodos que hay detrás de ellas y cómo su comportamiento puede significar la diferencia entre el éxito y el fracaso, más capaz será de proteger a su organización del posibles daños.

En definitiva, el trabajo de los CISOs no es nada fácil. Sin duda, los próximos años traerán consigo muchos retos. Pero, conociendo el papel central que ocupan en la gran mayoría de los ciberataques actuales, la concienciación de los usuarios ya no debería ser uno de ellos.