Ciberseguridad y Seguridad Digital

ES NECESARIO AMPLIAR EL CONCEPTO DE CIBERSEGURIDAD.

Es evidente que la importancia de todos los elementos relacionados con la seguridad de las organizaciones ha crecido exponencialmente los últimos años, en la misma medida lo han hecho el número y la sofisticación de los ataques y acciones de los ciber delincuentes. De hecho, en la gran mayoría de las encuestas aparecen como una de las mayores preocupaciones de los CXOs, ya que posibles fallos en seguridad pueden tener un impacto muy significativo en aspectos  económicos y operativos. Y lo más grave, en aspectos legales y reputacionales que afectarían directamente a la confianza de los clientes y por tanto al negocio.

Por todas estas razones, el término Ciberseguridad se ha convertido en uno de los más referenciados en todos los foros tecnológicos y de negocio, y el número de proyectos y actividades relacionado con la Ciberseguridad se han multiplicado. Y así debe ser.

Evolución del término Ciberseguridad

Sin embargo, desde Icraitas pensamos que tanto el término Ciberseguridad como el concepto que se tiene de él en el Gobierno Corporativo, deben evolucionar. De la misma forma que lo han hecho las tecnologías, los hábitos de los usuarios y el comportamiento de los delincuentes.

Para explicarlo, veamos primero qué se entiende por Ciberseguridad, y porqué en un momento dado sustituyó a otros como Seguridad TI o Seguridad de la Información.

  • La Seguridad de la Información es un concepto que ha existido desde siempre y tiene que ver con la necesidad de proteger la confidencialidad de información sensible de cualquier naturaleza, ya esté en formato electrónico o no. Sirvan por ejemplo los registros de pacientes en hospitales, en el pasado siglo XX, antes de la digitalización de expedientes, y los modernos sistemas de "Hospitales sin papeles".
  • La Seguridad TI  (más sencillo que hablar de seguridad TIC) , tiene que ver con la protección de todos los sistemas de Informática y Telecomunicaciones de una organización. dado que actualmente la mayor parte de lal información a la que accedemos y compartimos utiliza infractucturas TIC propias o de terceros,  es un concepto que muy frecuentemente se confunde con el anterior, ya que la protección de la información pasa por proteger los sistemas que permiten el acceso a la misma.
  • La Ciberseguridad, es un concepto más amplio, y en cierto modo es la extrapolación de lo que acabamos de explicar. Se entiende por Ciberseguridad la protección de todos aquellos ámbitos o elementos que son accesibles utilizando las TIC. Está claro que incluye la Seguridad TI. Pero también muchos otros, como las infraestructuras críticas, sistemas de acceso o medios de comunicación. Por no hablar de uno de los retos más complicados que se presenta a futuro, si tenemos en cuenta la más que previsible explosión de IoT, los automóviles sin conductor y otras ideas que hoy sólo podemos imaginar. 

Si el término Ciberseguridad es tan amplio, ¿Por qué defendemos en este post que es necesario extender su significado? ¿Por qué planteamos que debe evolucionar?

La razón por la que está evolución es necesaria, está en el otro término del que más se habla últimamente: La Transformación Digital. Por supuesto que este tipo de procesos aumenta el nivel de competitividad de las empresas y tiene mejora la eficiencia interna y la percepción de clientes usuarios. Pero al mismo tiempo aumenta  el nivel de riesgo de la organización. Y no solo porque el número de elementos potencialmente vulnerables aumenta y al aumentar la dependencia del negocio en las TI el impacto de un ataque podría ser mucho mayor.

La verdadera razón de este aumento de riesgo es que los procesos de Transormación Digital consiguen aumentar el rendimiento de la organización integrando totalmente a empleados, partners, clientes y las nuevas plataformas IoT (es decir todo aquello que se puede monitorizar, controlar y monetizar). Aquí se incluyen la conectividad, los sistemas de Información y la integración de plataformas se soporte y operativas. Es decir estamos hablando de ampliar el ámbito de la Ciberseguridad a todo el entorno corporativo (incluyendo procesos y personas), y extenderlo más allá de las fronteras de la organización (al incluir a partners y clientes.

Protección del entorno corporativo

Para proteger de forma eficiente todos estos ámbitos es imprescindible actuar en cinco áreas diferentes:

  1. Gobierno y Compliance: Posiblemente sea más importante actuar en el ámbito de gobierno y del compliance que en el tecnológico. El que el mensaje de Seguridad Digital llegue al Consejo o al Comité de Dirección de forma clara es la clave para que se le otorgue la importancia que tiene. De ello dependerá la priorización de proyectos, la fijación de objetivos y la asignación de presupuestos. 
  2. Detección Temprana de Amenazas: Continuamente las amenazas y los ataques cambian, y ya no se dirigen sólo a las máquinas. Como sabemos, el punto más vulnerable en la cadena de seguridad, suelen ser los usuarios. Y estos incluyen también a clientes o a empleados de terceros que puedan tener derechos de acceso. Las organizaciones deben estar preparadas no solo detectarlos y defenderse. También para minimizar los efectos de un ataque que pueda tener éxito, ya que el riesgo cero no existe. 
  3. Proteger los límites: Antes era relativamente sencillo proteger la información. IT sabía donde estaba (en el Data Center), quien accedía a ella y de qué forma lo hacían. Ahora mismo, el escenario es diferente y los responsables de TI están obligados a proteger información que ya no controlan. Parte de la información está en la nube (privada o pública), o se envía por correo sin ningún control de acceso. Las credenciales de usuario pueden extraviarse o robarse asi que es necesario garantizar que los usuarios que aceden a la organización son quienes dicen ser. Y la integración de proveedores externos en determinados procesos hace que sus fallos de seguridad se conviertan en los de la organización.
  4. Personas y Procesos: No es posible una transformación digital completa sin un profundo cambio cultural que implique a procesos y personas. Y a ninguno de ellos se les ha prestado atención desde el punto de vista de la Seguridad, que ha estado centrada en la tecnología y limitada a los profesionales de TI. El avance del negocio digital y la individualización de la tecnología, que escapa del control de TI,  hacen que sea imprescindible que tanto empleados como clientes y proveedores se impliquen en un cambio total en su  comportamiento y su nivel de compromiso, en lo que se refiere a temas de Seguridad. Y también en temas de comunicación, reputación y redes sociales.

Conclusión

Esta es la visión de Icraitas respecto a la Seguridad y la Defensa Digital. Y por eso nuestra oferta esta diseñada parar cubrir todas las necesidades que plantean estas cuatro areas de acción.

Es a única forma de proteger a la información, los procesos, las personas y los que forman parte de las nuevas organizaciones que quieren aprovechar las indudables ventajas de la Transformación Digital.