Cómo detectar el riesgo de un ciberataque en mi empresa

En nuestro mundo interconectado y digital, el riesgo de sufrir un ciberataque es cada vez más frecuente. Empresas, corporaciones y organismos oficiales ven comprometida casi diariamente su seguridad, con graves consecuencias por el robo de datos confidenciales, fraudes y pérdidas económicas y de reputación. 

Según informes de la Unión Europea, “los ciberataques y la ciberdelincuencia están aumentando en toda Europa, y cada vez son más sofisticados. Esta tendencia seguirá agravándose en el futuro, ya que se espera que 22.300 millones de dispositivos en todo el mundo estén conectados al internet de las cosas (IoT) de aquí a 2024”. El Informe sobre la Cibercriminalidad en España 2023 del Ministerio del Interior señala que en nuestro país, los ciberdelitos conocidos han aumentado de un 9,9% en el año 2019, a un 19,2% en el año 2023. 

En cuanto a los sectores donde se han detectado un mayor número de incidentes, destaca el sector transporte, con un 27,78%, seguido del sector TIC y del sector tributario y financiero, con porcentajes del 23,33% y 21,11%, respectivamente.

Tipos de amenazas cibernéticas

Según el informe “2022 Ponemon Cost of Insider Threats Global Report”, elaborado por la empresa americana en ciberseguridad ProofPoint tras encuestar a más de mil profesionales de las TIC en América del Norte, Europa, Medio Oriente, África y Asia-Pacífico, “en los últimos dos años, la frecuencia y los costes asociados con las amenazas internas han aumentado drásticamente en las tres categorías de peligros internos: empleados o contratistas negligentes, información privilegiada malintencionada o criminal y robo de credenciales”. 

Las amenazas cibernéticas más habituales son:

• Los de tipo ransomware: diferentes tipos de malware que cifran los documentos ubicados en los sistemas infectados y solicitan dinero a cambio del descifrado y la no publicación de los datos obtenidos.
• Los de fraude – tanto los conocidos como fraude al CEO o los de phishing- que suplantan la identidad de clientes o proveedores y obtienen tanto datos confidenciales como dinero.

Un alto coste para las empresas

Los ataques informáticos suponen un alto coste para las empresas y organizaciones. De acuerdo con los datos aportados por ProofPoint: 

• El 56% de los incidentes son debidos a negligencias llevadas a cabo por empleados o proveedores descuidados, bien porque sus equipos informáticos no están protegidos, porque no siguen las políticas de seguridad de la empresa o porque no han actualizado sus sistemas. El coste de estos fallos es de casi 500.000 dólares por incidente (algo más de 450.000 euros).
• El robo de identidad se ha duplicado entre 2020 y 2022 (el estudio más reciente llevado a cabo por la firma). Se trata de la amenaza más costosa para una empresa, llegando a los 800.000 dólares por incidente (unos 720.000 euros).
• El tiempo para resolver las afecciones causadas por un ciberataque han pasado de 77 días en 2020 a 85 en 2022. 
• El tamaño de la empresa afecta al coste por amenaza. A mayor tamaño de la organización, más presupuesto destinan a resolver incidentes de ciberseguridad internos. 

¿Cómo detectar que la organización está en riesgo?

Según ProofPoint, hay cinco indicadores que pueden ayudar a las organizaciones a detectar su nivel de riesgo a sufrir una amenaza cibernética: 

• No tener una formación específica sobre las leyes de protección de datos y su aplicación en el área de trabajo que afectan a la seguridad de la empresa.
• No asegurarse de que los equipos informáticos, tanto los personales como los de la compañía, están protegidos todo el tiempo.
• Enviar información altamente confidencial a servidores en la nube que no están protegidos poniendo en riesgo a la organización. 
• Romper las políticas de seguridad de la empresa al simplificar tareas.
• No mantener los equipos protegidos y actualizados con las últimas versiones.

Una compañía será más sensible a amenazas cibernéticas cuantos más indicadores de riesgo se vean comprometidos. La seguridad informática debe aplicarse en cada uno de los niveles de una organización y debe formar parte de la filosofía y la rutina de trabajo de la corporación.