Ante los ciberataques, esta tarea se perfila como una tendencia esencial en la industria, sobre todo en contextos de crisis como la pandemia actual.
Hace poco más de un año, salió a la luz un caso de hackeo masivo que puso de manifiesto la necesidad de prestar atención a la ciberseguridad. En ese entonces, se publicaron más de 700 millones de cuentas de correo y contraseñas recopiladas en una base de datos llamada ‘Colection #1’. Y un año antes, también se dieron ataques a empresas que afectaron tanto a las propias compañías como a miles de usuarios y clientes.
Uno de los casos más conocidos y recordados es el de una famosa cadena hotelera estadounidense, que tardó cuatro años en percatarse y, durante ese tiempo, los hackers accedieron a datos personales y financieros de sus huéspedes, según recuerda Yvonne Rodríguez, Opinión Editor del MIT Technology Review en Español, en un artículo para Santander.com.
De acuerdo al Barómetro de Riesgos 2019 de AGCS, los ciberataques están entre las mayores preocupaciones de las corporaciones, junto con el temor a la pérdida de beneficios. Cada vez más empresas son conscientes de la importancia de la ciberseguridad en su día a día y de que los ataques cibernéticos pueden poner en peligro no sólo los datos de la organización, sino también los de sus clientes y trabajadores.
Por eso, el hackeo ético se perfila como una de las tendencias más importantes en la industria. Pero no solo eso. Las empresas comienzan a tomar consciencia de la importancia de formar a su personal para reforzar la ciberseguridad. Los sistemas son tan fuertes como la gente que los protege. Los ciberdelincuentes son cada vez más creativos y hace tiempo que los antivirus convencionales dejaron de ser totalmente efectivos.
La demanda de redes de seguridad que realmente eviten prácticas malintencionadas ha hecho que algunos hackers trabajen para las empresas comprobando si sus sistemas resisten las ofensivas y mejorándolos para hacerlos prácticamente inexpugnables.
Vladimir Villa, director general de la empresa de seguridad informática Fluid Attacks, en una entrevista con el sitio iProfesional señaló que el hacking ético es realizado dentro del marco de la ley aquí en la Argentina y que involucra un acuerdo de confidencialidad que “blindan a las empresas contra fugas de información, y garantizan el borrado seguro de evidencias de vulnerabilidades explotables”.
Algunos datos
Un informe de la consultora IPSOS que se conoció en marzo de 2020 e indagó en las percepciones sobre la ciberseguridad que los líderes de negocio tienen en Argentina, arrojó que el 29% de las empresas de nuestro país fue víctima de ciberataques. Sobre el total de las afectadas, el 35% lo sufrió durante los últimos 12 meses (el año pasado).
¿Cuáles fueron las consecuencias principales? El daño a programas o sistemas (58%), la pérdida temporal (58%) o permanente de archivos (42%) y la alteración o destrucción de datos personales (30%).
Acerca de las medidas que se tomaron para prevenir ciberataques en un futuro, el 56% adquirió un software (antivirus, firewall, antispam, etc) para mejorar la seguridad; un 36% invirtió en capacitaciones a los trabajadores para prevenir amenazas; un 35% contrató proveedores externos; y un 27% no tomó ninguna medida
El 51% de las empresas admitió sentirse vulnerable frente a posibles ataques, sobre todo las que pertenecen a la industria de servicios. No obstante, el 76% de los entrevistados afirmó que es poco o nada probable que su compañía lo sufra.
Cómo es la colaboración
Cuando una organización decide utilizar los servicios de una empresa de hacking ético, lo primero que debe hacer es firmar un contrato para definir el alcance, los permisos y las posibilidades que tiene la colaboración. En este documento también quedará por escrito que la corporación da vía libre a los hackers para realizar estos ataques de prueba. Es una pieza clave para asegurar que las pruebas se realizan sin malas intenciones.
Entre los puntos que se tratan en este acuerdo o contrato de colaboración, estarán los sistemas o “zonas” donde el hacker debe indagar y tratar de acceder. Estas áreas pueden ser sistemas de software, servidores, aplicaciones, equipos e incluso aplicaciones que los clientes de la organización auditada tengan instaladas en sus dispositivos.
Opciones de ataque
Una vez firmado el contrato de colaboración, la empresa encargada de realizar la auditoría estudiará de forma exhaustiva todas las opciones que tienen para atacar a la empresa. Se investiga tanto el hardware como el software, utilizando todo tipo de herramientas que identifiquen las posibles vías por las que podrían entrar los ‘malos’ hackers.
Otra de las acciones de investigación consiste en hablar con los trabajadores. Gracias a ello extraen la información sensible que manejan en su día a día, desde datos confidenciales a cifras bancarias pasando por aplicaciones instaladas. Además, se estudia el perfil personal y profesional de los empleados y se analiza su posición en la corporación e incluso sus aficiones. En este plan se recopilan todos los accesos detectados que supongan un peligro para el sistema de la organización y todas las herramientas con las que se podría acceder al mismo.
Una vez organizados estos datos, se elabora un plan de ataque que ponga a prueba la seguridad de la empresa. Este proyecto se plasma en un documento que la empresa auditada revisará con el hacker y en el que se explican los pasos a seguir para realizar los ataques de prueba. Este escrito es informativo y tiene la intención de preparar a los implicados, tanto directivos como empleados, para así evitar posibles confusiones.
Fallos, vulnerabilidades o brechas
Los expertos en ciberseguridad atacan diversos entornos dentro del sistema de la corporación con intención de detectar fallos, vulnerabilidades o brechas. En este proceso, denominado pentesting o test de penetración, se comprueban los errores de seguridad tanto de software como de hardware buscando un lugar por el que entrar y hacerse con el control de los equipos o aplicaciones.
El origen de estos huecos puede deberse a factores diversos que van desde errores de código en programación a contraseñas previsibles establecidas por los propios usuarios. Los hackers se aprovechan de estas vulnerabilidades por medio de los exploits, que son herramientas programadas para acceder a estos sistemas y que estarán preparadas gracias al estudio realizado en la fase anterior.
Al terminar este proceso, la empresa que realiza la auditoría recopila todas las pruebas que hayan tenido éxito dentro del pentesting y se entrega un reporte con todas las vulnerabilidades detectadas y un plan para eliminarlas. En el siguiente proceso se depuran los sistemas de seguridad de la organización y se eliminan todas las vulnerabilidades encontradas. Una vez superada esta fase, se realiza un seguimiento para comprobar que las vulnerabilidades han sido erradicadas y que los sistemas informáticos de la empresa son seguros.
Conocé más de la temática en Santander.com.
Aún no hay comentarios