"A las empresas españolas les falta cultura en ciberseguridad. Se preocupan más por paralizar los procesos cuando un ransomware infecta sus ordenadores que por los datos que recurrentemente se roban de sus equipos". Son las palabras de Roberto Peña, responsable de seguridad de Mnemo, consultora especializada en Tecnologías de la Información y Ciberseguridad.
Aunque es cierto que la declaración viene de un portavoz de una empresa que vive y genera negocio cuanto mayor es el número de vulnerabilidades, no por ello el comentario es menos cierto.
WannaCry paralizó miles de empresas de todo el planeta, cuando el modus operandi del virus no era más que encriptar el disco duro y pedir un rescate para liberar la información. Pero, de robo de datos, nada.
Qué es peor, ¿que secuestren mis datos o que directamente me los roben? Como en todo, hay tantas opiniones como traseros, pero el verdadero problema no es qué se prefiere, sino el hecho de que se ignora que está sucediendo.
Al igual que no se concibe una compañía sin un informático que mantenga al día los equipos, se debe contar con un departamento de seguridad
Muchas de esas empresas no saben que los datos de sus clientes, sus bases de datos, están siendo exportadas ilegalmente cada vez que se actualizan con un contacto nuevo, datos que se venden en el mercado negro y que van a parar a empresas que luego los utilizan para multitud de actividades delictivas.
¿Por qué la policía no acaba con este tipo de mercado negro? Desde Incibe (Instituto Nacional de Ciberseguridad), la institución española de ciberseguridad de mayor peso, dan el motivo: muchos de estos mercados están alojados en servidores de empresas legítimas sin el conocimiento de sus propietarios. Una empresa legal ciberatacando sin saberlo. Caballo de Troya desde la ignorancia.
De ahí -apuntan desde Incibe- la importancia de hacer una auditoría de seguridad después de cualquier ciberincidente.
Una auditoría que lo que haría es poner sobre la mesa un problema que está pero que no se ve. En empresas de prácticamente cualquier tamaño resulta imprescindible contar con un plan y una estrategia de seguridad.
Al igual que no se concibe una compañía sin un informático que mantenga al día los equipos, o un departamento de administración, se debe contar con un departamento de seguridad, bien in house o bien subcontratado.
Ahora no es dogma de fe, pero lo será. Y no porque lo diga yo o el Incibe. Y no porque la UE (Unión Europea) anunciara anteayer la creación de una agencia de ciberseguridad. No. Lo dicen los datos. cada vez hay más ataques a empresas. Especialmente a infraestructuras críticas. Aviso a navegantes.
