Seguridad de las empresas, comprometida por novatos: Verizon

Aunque el crimen organizado en Internet es una realidad cada vez más apremiante, la mayoría de los ciberataques (96%) que comprometen información de valor dentro de los ambientes empresariales son ejecutados por usuarios novatos con técnicas simples, de acuerdo al reporte 2012 Data Breach Investigations Report.

El informe desarrollado por el operador Verizon  —que cuenta con el apoyo del Servicio Secreto de Estados Unidos, la Unidad Central de Crimen Digital de la Policía y las divisiones de combate al cibercrimen de Alemania, Irlanda y Australia— destaca que en el último año a nivel mundial se han reportado más de 855 incidentes y poco más de 174 millones de archivos comprometidos.

“Lo que estamos viendo es que los cibercriminales han comenzado a diversificar sus focos de ataques. La industria financiera sigue siendo una de las más afectadas por el delito en Internet, pero el informe de este año muestra que verticales como la de hospitalidad y alimentos son los nuevos blancos de ataque de los delincuentes en línea”, dijo  Steven Rivera, vicepresidente de la división de Servicios de seguridad de  Verizon en América Latina.

Rivera menciona que la razón principal detrás de la tendencia radica en que muchas empresas dentro de estas verticales, carecen de programas, procesos o sistemas de seguridad, sin embargo sí procesan datos bancarios de tarjetas de crédito o debito.

“Para el criminal es más fácil vulnerar el sistema de una pequeña cadena de retail, un miscelánea o un hotel pequeño, que tratar de penetrar el robusto sistema de seguridad de una institución financiera”, comenta.

El informe de 2012 señala que el numero de brechas y datos comprometidos del último año ha sido uno de los más altos, sólo superado por 2004 —año en el que el operador comenzó a realizar el análisis—.

Los datos del informe, según Rivera, también levantan diversas preocupaciones pues 98% de la brechas de información son generadas por agentes externos, de estas 81% utilizaron algún método de hacking, 69% incorporó el uso de malware y 58% fueron resultado de protestas hacktivistas.

“La mayoría de ciberataques responde a un tema de oportunidad más que de elección, es decir, son víctimas que tienen una debilidad que puede ser aprovechada por los cibercriminales, difícilmente se tratan de ataques dirigidos”, cita el informe.

De acuerdo con cifras del 2012 Data Breach Investigations Report, 79% de las víctimas  fueron blancos de la oportunidad, 96% fueron vulnerados por ataques simples y en el 85% de los casos a las empresas les tomó más de dos semanas detectar el robo de información.

Lo más crítico, dice Rivera, es que 97% de los incidentes analizados por Verizon podrían haberse evitado con simples controles o políticas claras de seguridad.

“El problema más grave en seguridad IT es que muchas industrias están llenas de fuertes incongruencias. Por ejemplo, el sector salud cuenta con tecnología de punta para salvar la vida humana, pero operan con los controles mínimos para proteger la información de empleados o pacientes”, comenta Rivera.

Situación similar con las regulaciones y estándares de industria, pues muchas empresas tienden a creer que con estar en cumplimiento o por aprobar la auditoria están exentos de ser vulnerados por los cibercriminales.

Las regulaciones de gobierno como Sarbanes Oxley y los estándares de cumplimiento como PCI, son un arma de doble filo porque si bien ayudan a mejorar y crear procesos y controles de protección, también generan un sentido falso de seguridad, apunta Steve Rivera.

El informe de Verizon también demuestra que el número de brechas de seguridad generadas por usuarios internos —intencional o no— se mantiene a la baja. En 2010, los  incidentes generados por usuarios internos representaban 12%, contra 86% provocados por agentes externos (cibercriminales).

En el informe de 2012, la cifra se redujo a 2% interno, contra 98% de las brechas provocadas por usuarios externos a la organización, criminales que en nueve de cada 10 casos buscan vulnerar a la organización en busca de un beneficio económico.

América Latina y el Mobile Security

Aunque el reporte de Verizon señala diversos incidentes reportados en México y Brasil, el vicepresidente de la división de Servicios de seguridad de Verizon en América Latina menciona que el riesgo para la región en materia de cibercrimen está por comenzar.

“Las economías de región tiene una urgencia clara por adoptar nuevas tecnologías de manera más ágil y flexible, para poder soportar su crecimiento y competir a nivel global”, dice Rivera.

Así, mientras Estados Unidos y Europa se contraen o estancan en materia económica, América Latina y Asía mantienen crecimientos anuales por encima del promedio global, mismos  que han permitido que la conectividad, las redes de comunicación y la adopción IT se masifique entre usuarios y negocios de la región.

El resultado —dice Rivera— es mayor atención por parte de los cibercriminales, pero también una mejor conciencia sobre el tema de ciberseguridad entre usuarios, gobierno y organizaciones.

Para el experto será esencial que durante los siguientes años empresas, usuarios y gobiernos desarrollen canales de intercambio de información y redes de colaboración para hacer combate al cibercrimen y robo de datos, en particular frente a la adopción masiva de smartphones y tablets.

“Se tiene que generar colaboración entre todos los actores desarrolladores, creadores de hardware y operadores. A medida que los usuarios dependan más de sus dispositivos móviles será un requisito proteger los datos mediante el uso de infraestructuras compartidas”, afirma Rivera.

Via http://www.bsecure.com.mx/ultimosarticulos/seguridad-de-las-empresas-comprometida-por-novatos-verizon/