BDO propone la proactividad para aumentar la protección frente a los ciberataques

BDO considera que la alta dirección debe implicarse en los asuntos 'ciber' y asignar recursos que "garanticen" una gestión segura de los posibles riesgos, ya que la naturaleza, severidad y alcance de las amenazas son "relevantes" al más alto nivel de la organización.

Para BDO, no es arriesgado afirmar que todas las entidades serán objeto de un ciberataque y, por tanto, la principal pregunta que deben hacerse las organizaciones es cuándo van a sufrir un ciberataque.

En el informe de BDO se pone de manifiesto que la ciberseguridad se ha convertido en una cuestión de cumplimiento legal. Cuando la red de una empresa se rompe, la regulación actual, como es el Reglamento Europeo de Protección de Datos, establece que puede tener consecuencias que potencialmente sean sancionadas. Incluso es posible, evaluando el impacto de ataques más representativos de la última década, que los estados y gobiernos de todo el mundo lleguen a obligar a las empresas a reportar los ataques que sufran y a tomar medidas concretas de respuesta.

Según datos del Instituto Nacional de Seguridad (Incibe), España es el tercer país del mundo que más ataques informáticos recibe. En 2016 se detectaron 115.000 incidentes, de los que 480 afectaron a hospitales y aeropuertos, entre otras organizaciones e instalaciones públicas.

Un estudio de la Universidad de Oxford, que analizaba empresas de Estados Unidos y de Europa, estimó en 1,5 millones de dólares el coste de un ataque a una empresa de más de 5.000 empleados. Para las empresas de tamaño medio, esta estimación es de unos 36.000 dólares, al margen de la pérdida de oportunidades de negocio.

El director del área de Risk Advisory en BDO España, Valentín Faura, ha afirmado que las organizaciones son las que deben valorar si prefieren prepararse antes de que ocurra un ataque o "pagar las consecuencias" para reparar los daños tras él, y comenta que actualmente prima la anticipación y la observación de los riesgos con el fin de prevenir los ataques.

Sin embargo, el socio y experto en ciberseguridad en BDO Reino Unido, Jason Jottschalk, ha reconocido la "complejidad" de realizar una 'due dilligence' en materia de ciberseguridad por la dificultad que entraña "medir" el grado de preparación o resistencia de una empresa a la hora de recibir ataques, y califica de "desmoralizadora" la tarea de cuantificar parámetros que midan la probabilidad de un ciberataque y el grado de preparación de las organizaciones.

HACIA LA CIBERDEFENSA

Las organizaciones, según BDO, "necesitan" demostrar a sus accionistas que están atendiendo los asuntos relacionados con la ciberseguridad y deben "alcanzar" un grado de preparación que las permita responder ante incidentes, por lo que ya están modificando el modelo tradicional de seguridad hacia un enfoque orientado al crimen 'online', es decir, hacia la "ciberdefensa".

Según el informe de BDO, el modelo de prevención y reacción de las empresas frente a las amenazas de ciberseguridad debe basarse en tres pilares: seguridad, vigilancia y resiliencia.

Puesto que no es posible proteger todo por igual, ser seguro implica proteger los recursos más sensibles al riesgo, por lo que es necesario focalizarse en los activos críticos de la empresa. También es necesaria una supervisión proactiva de las amenazas basada en la búsqueda de patrones de comportamiento, en la recopilación de información y en la actualización de los escenarios riesgos. Por último, la resiliencia consistiría en "prepararse" frente a todo tipo de ataques y mantener actualizados los procedimientos de actuación y recuperación.