En la última edición de la conferencia de seguridad Segurinfo 2022, un panel de CISOS de Iberoamérica debatió acerca de la cómo las organizaciones pueden mejorar las estrategias de ciberseguridad tomando como referencia las lecciones aprendidas a partir de la pandemia, el conflicto entre Rusia y Ucrania, los riesgos asociados a los ataques a la cadena de suministro, entre otros temas más.

André Pires Ferreira, CISO de Falabella, plantea la importancia de considerar para el análisis de riesgo situaciones inesperadas y poco probables, pero con un impacto muy grande.

En el contexto del conflicto actual entre Rusia y Ucrania y el impacto que podría tener un ataque a una infraestructura crítica de un país o una crisis a nivel mundial, Pires pregunta si las organizaciones se están preparando para el peor escenario junto a sus proveedores tecnológicos. Plantearse un escenario como un ataque a las telecomunicaciones de un país o a una infraestructura en la nube que utilizamos como parte de la cadena de suministro parece un poco exagerado, pero independientemente de que lo inesperado puede ocurrir, el ejercicio puede darnos un panorama más completo de la seguridad de nuestra organización.

Lectura recomendada: Ciberataques: hay que estar preparados ante una posible expansión de la zona de conflicto

En este sentido, el CISO de Falabella hace referencia a la importancia de considerar los riesgos asociados a nuestra cadena de suministro tecnológica y los proveedores de servicios, ya que en caso de no estar disponibles esto afectaría los procesos propios.

Sergi Carmona, CISO de AGBAR Iberoamérica, comenta que el conflicto geopolítico ha generado alertas para que las empresas revisen sus procesos para minimizar cualquier posible riesgo y mejorar su capacidad de resiliencia con el objetivo de asegurar que la capacidad de operación no se vea interrumpida.

Con respecto a la contratación de un ciberseguro como parte de la estrategia de seguridad, Carmona opina que un ciberseguro es algo complementario. Si bien este servicio minimiza el impacto económico en caso de un incidente de seguridad y por esto es útil sumarlo a la estrategia de seguridad, no reemplaza la inversión en seguridad.

Otro aspecto que mencionan sobre la contratación de un ciberseguro es que su valor aumentó considerablemente en el último tiempo. Vale recordar que con el crecimiento de los ataques de ransomware a partir de 2020 la demanda de ciberseguros creció considerablemente y las compañías aseguradoras han tomado cartas en el asunto aumentando los costos ante la cantidad de víctimas de este tipo de amenazas.

En España en algunos casos se duplicó la contratación de este servicio y algo similar ocurrió en Perú, explica Felipe Roel Montellanos, Gerente de Tecnologías de la Información del Banco Central de Reserva del Perú (BCRP), donde los costos de este tipo de servicios crecieron considerablemente en un corto plazo.

Como explicó el especialista de ESET Tony Anscombe en el artículo acerca de pagar o no pagar luego de un ataque de ransomware, el ciberseguro probablemente llegó para quedarse, pero las compañías aseguradoras deberían exigir condiciones desde una perspectiva de ciberseguridad (un plan de recuperación y respuesta) y definir estándares extremadamente altos para reducir la posibilidad de que se realice algún tipo de reclamo.

Referencias: ESET 2022

Autor: Juan Manuel Harán