El teletrabajo tiene quien lo celebra y no falta quien lo teme. Si, como se prevé, está aquí para quedarse, no está de más recordar que a la par que sus presuntas ventajas también presenta evidentes problemas. Uno de ellos, no el menor, es que durante estos meses han proliferado los riesgos de seguridad. Lo demuestra un oportuno estudio elaborado por encargo de Carbon Black, empresa de ciberseguridad ahora integrada en VMware. Concluye que “según un asombroso 91% de los encuestados a nivel mundial, se ha producido un aumento en el número total de ciberataques debido a que sus empleados trabajan desde casa”. Con el agravante de que el 7% de ellos afirma que el aumento ha sido de más del 80%.
Es un agravamiento de tendencias que ya eran notorias antes del estallido de la pandemia. El 99% (¡todas menos dos!) de las organizaciones españolas consultadas dice haber sufrido una filtración de datos por ciberataques en los últimos doce meses, y la media a cada una de ellas ha sido de 1,52 incidentes de seguridad. Lo que, en opinión de Carbon Black, demostraría que “por rápido que se adapten las empresas españolas a esta situación, las ciberamenazas evolucionan a un ritmo mayor: el 86% de los profesionales de seguridad afirma que los ataques han aumentado en sofisticación y el 57% que se han vuelto moderada y significativamente más avanzados”.
La respuesta de las organizaciones ha sido un aumento de sus gastos en medidas defensivas. Y todas salvo una prevén que este capítulo de sus presupuestos volverá a aumentar este año. Aunque habría motivos para el pesimismo, “la gran mayoría de los encuestados señala inequívocamente que la caza de amenazas está dando sus frutos y que se les reconoce cada vez más el valor [de esos desembolsos] a la hora de identificar a los agentes malintencionados que ya están en el sistema”.
Sin embargo, aparecen nuevos riesgos; con la adopción de 5G inscrita en la agenda de la inmensa mayoría de los participantes del estudio. Sin embargo, la opinión está dividida acerca de cómo afrontarla desde el punto de vista de la seguridad: el 49% cree que será necesario habilitar recursos específicos, mientras que el 51% considera innecesario un aumento presupuestario relacionado con 5G.
El trabajo de campo para el estudio se hizo durante el mes de marzo en varios países; en España, fueron entrevistados 250 directores de sistemas (CIO), directores de tecnología (CTO) y responsables de seguridad (CISO) de empresas de distintos sectores. La agudización de la crisis sanitaria y la declaración del estado de alarma crearon la necesidad de una ronda complementarla enfocada esencialmente en el teletrabajo.
En una perspectiva global, Carbon Black pone de relieve que la Covid-19 ha tenido, entre otros, el efecto de que buena parte de las empresas, ante la premura de una situación para la que no estaban preparadas, optaron por anteponer la productividad a la seguridad y, como consecuencia, no adoptaron una autenticación multifactorial como recomiendan los especialistas o no lo hicieron a tiempo en los accesos a su red corporativa. Esto, a pesar de que la mayoría de los encuestados señala la red como el eslabón más débil de la cadena. Casi un 30% admite su incapacidad real para implantar estas tecnologías.
Los ciberdelincuentes, siempre un paso por delante de sus víctimas, no tardaron en percatarse. Tras esa carencia de protección, el malware directamente relacionado con el coronavirus ha sido la estrella de las amenazas, con un 15,5% del total, afectando especialmente a sectores como alimentación y bebidas (49%) y servicios profesionales (30%). En cierto momento de la pandemia, el incremento llegó a ser del 92%.
Una hipótesis que lo explicaría reside en la persistencia de un problema crónico señalado por los expertos en seguridad, el uso de múltiples tecnologías. Según los datos recogidos, las empresas de la muestra utilizan una media de 9 consolas o agentes diferentes para gestionar sus estrategias de seguridad. Esto indicaría que “se ha ido actuado de manera reactiva, a medida que se añadían herramientas para hacer frente a las amenazas emergentes [sin una auténtica integración], dando lugar a entornos aislados y difíciles de gestionar”.
La conclusión y probable apriorismo del estudio, con la firma de Rick McElroy, director de estrategia de VMware Carbon Black, es la siguiente: “ahora que el panorama de las ciberamenazas alcanza un punto de saturación, ha llegado el momento de la racionalización del pensamiento y de claridad en el despliegue de nuevas herramientas de seguridad”.
Esta es una de las razones por las que VMware adquirió Carbon Black en 2019 al precio de 2.100 millones de dólares. Se trataba entonces de una visión estratégica que el CEO de la compradora, Pat Gelsinger explicaba en entrevista con este blog como una corrección a la peligrosa fragmentación de este mercado: “El objetivo de VMware es pasar de considerar la seguridad como una solución individual a suministrarla como un componente intrínseco de la plataforma. Calculamos que hay más de 5.000 productos individuales en el mercado, es una situación peligrosa. Lamento decirlo así, pero es insostenible”.
Los responsables de seguridad no lo tienen fácil. Como se pudo apreciar en la última conferencia RSA, la atomización es un rasgo negativo, con más de 1.200 compañías censadas, de las que hasta 200 compiten en una misma capa del mercado, de manera que unas soluciones se solapan con otras y la pluralidad supuestamente persigue atenuar los riesgos.
El informe profundiza en el vector de los ataques recibidos. Con un 19% se sitúa a la cabeza Google Drive. Entre las empresas de fabricación e ingeniería, en una proporción que roza el 30%; le siguen los medios de comunicación y entretenimiento (24%). Una vez conocidos los porcentajes, ¿dónde ponen énfasis los planes de seguridad de las empresas? De largo, con un 51%, en las cargas de trabajo y aplicaciones, seguidos de la red con in 35%. En cambio, no parecen inquietar tanto los dispositivos móviles, citados en un 10% de media (excepto en los servicios financieros, donde la preocupación por estos se eleva al 21%).
Al malware le sigue el phishing, amenaza a la que parecen especialmente expuestos los medios de comunicación (29%). A la cola se sitúan otras que han sonado mucho en sectores como el sanitario pero que, atendiendo al estudio, no parecen haber tenido tanta repercusión. No obstante, ha sido suficiente para que en el cómputo del ramsomware (4%) se ha incorporado una nueva familia, atinadamente llamada ´coronavirus`, con un 67% de incremento.
Materializada la incidencia, es interesante descubrir que más de un tercio (35%) de las empresas lamenta – tardíamente – que su planificación de la recuperación dejara mucho que desear. Hasta un 88% de la muestra indica la existencia de disparidades en esta planificación, mientras que un 33% llega a mencionar lagunas muy significativas.
Si se atiende a los directivos que en sus respuestas reconocen carencias, con independencia de su mayor o menor gravedad, el porcentaje se dispara hasta un alarmante 87%. El hecho de que un 13% admite ahora su incapacidad para desplegar a tiempo los parches de software, no dice nada bueno sobre el estado de preparación ante amenazas de las que no han faltado advertencias.
Ante este panorama, incluso puede calificarse como buena noticia que el 69% de las organizaciones haya recibido sólo una infracción en los últimos doce meses, mientras una cuarta parte manifiesta haber sido víctima dos y tres veces. Los servicios financieros – como de costumbre – han merecido la preferencia de los ciberdelincuentes, con una media de 2,13 ataques.
Pero la mala noticia ha sido que las consecuencias no han sido pequeñas. Casi una quinta parte de las organizaciones (19%) españolas califica como “grave” el impacto económico. Destacan especialmente las AAPP, en las que resulta difícilmente disculpable ese 26,5%% que admite la gravedad del daño. Un daño que no sólo es financiero: el 18% de las organizaciones ha visto gravemente dañada seriamente su reputación.
Otra conclusión reseñable del informe es que el 27,5% de los encuestados dice haber tenido fallos en la comunicación con los empleados y con otros interlocutores (clientes y proveedores) en relación con las medidas que se tomaron para abordar la pandemia y adaptarse precipitadamente al teletrabajo. Al menos, esta habrá sido una lección aprendida para el caso de los rebrotes que se temen.