El país concentra más del 20 por ciento de los atentados a sistemas informáticos. Por sectores, los más vulnerables son gobierno, finanzas, comunicaciones e industria. Siete, las modalidades más usuales.
Colombia es el país de Latinoamérica que más genera ataques informáticos, con más del 20 por ciento, seguida por Argentina, Perú, México y Chile. Y un buen porcentaje de estos afectan a las empresas.
Así lo revela el último estudio de la firma especializada en seguridad informática Digiware que buscaba mirar las tendencias con el fin de anticiparse con respuestas eficaces a las amenazas del 2015. El análisis contempló 8.000 dispositivos de sectores como la industria, comercio, retail, financiero, telecomunicaciones, Gobierno energía y salud.
Fabián Zambrano, director general del centro de operaciones de seguridad de Digiware, aclara que no necesariamente las víctimas son colombianos sino que habría una articulación con redes internacionales que gozan de información y experiencia para sacarles provecho a la vulneración de los sistemas corporativos.
En el ‘vecindario’, la tabla de vulnerabilidad ante los ataques la encabezan el sector Gobierno (49,5 %), financiero (14,3), comunicaciones (12,8), industria (10,7) y energía (6,5 %).
La modalidad más usual en el campo corporativo son los llamados ‘malware de día cero’, consistentes en la adhesión de un código malicioso a archivos ejecutables. Por lo general, estos aprovechan para dañar los sistemas de información en el tiempo que transcurre entre la elaboración del virus y el desarrollo de una contra.
El cross-site scripting es un ‘agujero’ de seguridad usual en las aplicaciones de web que se hace desde afuera. “Inserto un código malicioso en un portal para que haga lo que yo quiera cada que este código es ejecutado. Por ejemplo, puedo hacer cambios en la página web de la compañía”, explica Zambrano.
La suplantación de usuario, tercera forma, se aplica mucho para el fraude. Consiste en robarse la contraseña de alguien con acceso a información sensible, por ejemplo del área financiera –aprovechando tal vez unas vacaciones– con el fin de sacar datos o hacer pagos ficticios a proveedores, entre otras posibilidades.
El defacement (cambiar el rostro o desfigurar) es el ataque más común a entidades del Estado. Por este, se puede, por ejemplo, introducir en la web de la institución un contenido oponiéndose a una política.
Por otra parte, la tecnología NFC permite intercambiar información a través de celular juntando físicamente dos dispositivos (muy extendida en el pago de servicios públicos, restaurantes y centros comerciales), pero su uso malicioso puede llevar también a pedir la lista de contactos del usuario en redes sociales para luego hacerles inteligencia informática e infligirles algún daño.
Zambrano anota que hay sitios de Internet donde por 20.000 pesos le dan a cualquiera la contraseña del correo de una persona y este mecanismo es aprovechado a veces por empleados que quieren vengarse de su jefe metiéndose a la cuenta de internet de una persona cercana o de un miembro de su familia y así lo atacan por donde más le duele.
Así mismo, Digiware advierte que la mayor conectividad de nuestros tiempos ha favorecido los sistemas de control industrial, pero también los vuelve más propensos a la acción de los intrusos: alguien que quiera hacer daño puede, por ejemplo, activar a distancia la válvula de un poliducto o de una planta de tratamiento de agua o nuclear, comprometiendo vidas humanas y la sostenibilidad de un país, incluso.
¿Cómo amiinorar la vulnerabilidad?
Zambrano responde que el primer paso es tener conciencia de que las cosas son buenas o malas dependiendo de quién las use y que no hay sistemas tecnológicos infalibles. El segundo paso es identificar la información más estratégica para su negocio, ver dónde está y quién la maneja. A partir de ahí viene estructurar una estrategia de protección. “Hay desde los mecanismos más costosos hasta baratos como los servicios de cloud security, que me permiten cifrar la información que les paso a mis clientes y proveedores”, anota Zambrano.
EL CIO, LLAMADO A COBRAR RELEVANCIA
El CIO (Chief Information Officer) o director de información y tecnología de las empresas es un cargo que debe ganar espacio en los organigramas.
Así lo señala Alex Infanzón, arquitecto principal de soluciones de SAS, al presentar recientemente un estudio con la firma IDC llamado La Oportunidad Única del CIO, que descubre una desconexión entre los departamentos de tecnología y las líneas de negocio con respecto a la analítica de datos y el manejo de la información.
Según explica, el estudio trata de concientizar a los CIO de esta desconexión y que tomen ventaja de una oportunidad que existe hoy día para trabajar con las nuevas tecnologías y el usuario final con el fin de proveer soluciones de negocio.
Sobre cuál es el perfil del CIO y qué lugar debe ocupar en el organigrama de una empresa, Infanzón añade que algunos reportan al CEO o al CFO (Director de Finanzas).
Agrega que “el perfil del CIO es el de una persona que entiende de tecnología y cómo aplicarla de la mejor manera en las empresas. El CIO, para ser relevante, debería estar en un área adecuada para traer ventajas al negocio en términos de la mejor utilización de la tecnología que existe hoy día”.
Identificar el área que tenga mayor influencia para ofrecer soluciones de negocio es clave para que un CIO se desarrolle, indica.
Desde su experiencia en diferentes áreas y sectores financieros con los que ha participado en la implementación del Big Data, considera que los CIO exitosos son aquellos que se han involucrado con los requerimientos reales de los usuarios finales y han participado en una planeación estratégica que captura la visión, hacia dónde quiere ir y cuáles son la necesidades futuras de la empresa en la que trabaja.
En una compañía la participación activa del CIO en la definición de la visión le permite ser más competitiva y proveer mejores servicios a los usuarios finales.
Además, en esta era del Big Data, el experto subraya que los CIO son custodios de los datos, responsables de establecer cómo deben extraerse de todas las fuentes y brindarlos como un activo de la empresa.
Al citar una experiencia exitosa de este cargo, menciona a Bank of America, en el área de retail.
“Ha sido un ejemplo claro del CIO que ha adquirido nuevas tecnologías, se ha alineado con la visión de la empresa y ha traído los recursos necesarios e idóneos para resolver la problemática de la compañía. Todo esto para darle una ventaja competitiva”, dice el arquitecto principal de soluciones de SAS.