Ser y parecer: hacia una cultura de ciberseguridad

Hace unos días se dio a conocer una noticia preocupante: Chile cayó 10 puestos en índice de ciberseguridad elaborado por el National Cyber Security index (NCSI). Con ello se posicionó en el cuarto lugar entre los países de Latinoamérica, abajo de Paraguay, Argentina y Perú, perdiendo el liderazgo que anteriormente mostraba en esta materia en la región.

Los datos del NCSI deben ser tomados muy en serio por las organizaciones chilenas, porque este descenso ocurre cuando los ciberataques son cada vez más frecuentes. De hecho, en un análisis del International Business Report (IBR) de Grant Thornton se reveló que, desde la pandemia, se han triplicado a nivel global.

Otras estadísticas correspondientes a 2022 revelaron incrementos en torno a un 60% de este tipo de agresiones respecto del año anterior. Check Point, por ejemplo dio a conocer un estudio en el cual indicaba que una de cada 23 empresas de América Latina había sido víctima de uno de los delitos cibernéticos más comunes, el ransomware, una cifra superior al promedio global de una cada 40 compañías.

Cuesta entender esta caída, además, cuando en el caso puntual de Chile durante los últimos meses hubo una filtración de documentos del Estado Mayor Conjunto, el Poder Judicial fue víctima de un hackeo y un banco de una conocida marca del retail sufrió una afectación. Cabe preguntarse cuántos otros casos de organizaciones público-privadas menos expuestas al escrutinio mediático también enfrentaron algún tipo de ciberataque. Demasiadas, seguramente, y dada la falta de preparación advertida por el NCSI, con duras consecuencias en muchas de ellas.

En este predicamento las empresas medianas y pequeñas son especialmente vulnerables, porque no tienen el volumen de recursos que las compañías grandes, las cuales, por otra parte, también cuentan con equipos de profesionales dedicados a combatir este peligro. Posiblemente sean las Pymes las que, afectadas por el entorno político y macroeconómico inestable del país en los últimos años, hayan dejado de invertir en ciberseguridad, quizás privilegiando otros factores al elaborar sus presupuestos anuales. Si fuera así, sería un error de cálculo.

En un escenario inquietante como el planteado por los ciberataques los emprendedores deben comprender que este riesgo es una amenaza incluso para sus modelos de negocio y, por tanto, reaccionar al respecto no solo para que Chile de nuevo destaque en los rankings: para sobrevivir y contribuir a la recuperación económica del país. En ese sentido, el costo-beneficio de destinar importantes recursos a ciberseguridad siempre será positivo. Tomemos el caso de un ransomware (secuestro de datos). En este tipo de delito los autores suelen pedir rescates que oscilan entre los USD 200 mil y los USD 10 millones, montos a los que también hay que sumar el impacto monetario que implica la interrupción de las operaciones durante varios días o semanas.

Ahora bien, en Chile se ha invertido. Pero si se han destinado recursos a este tema, ¿qué está pasando entonces? Cabe concluir que el problema probablemente pasa por la existencia en muchos casos de una disociación entre protocolos de cumplimiento efectivamente bien diseñadas en el papel, pero que al momento de la implementación práctica dejan desprotegido al core del negocio. En otras palabras, que se está produciendo una incongruencia entre teoría y realidad.

Por lo tanto, una política de buenas prácticas de compliance debe tanto serlo como parecerlo, una fórmula que al parecer no se está cumpliendo, si se permite la redundancia. La respuesta, en consecuencia, es tanto invertir como planificar oportunamente, de una forma innovadora, no complaciente e involucrando a toda la compañía, no sólo al equipo de TI, aumentando de esta forma los controles para reducir los riesgos que a diario comprometen la integridad de los sistemas informáticos. Esta es una fórmula que conlleva avanzar hacia una cultura de riesgos centrada en la ciberseguridad que permitirá a las empresas eludir el 80% de los ciberataques.

También es clave que las empresas e instituciones comprendan que este problema llegó para quedarse, y que si no adoptan las medidas y controles necesarios para fortalecer la seguridad de la información o de sus activos tecnológicos, en cualquier momento serán víctimas de un ciberataque, con el riesgo latente de quedarse fuera del mercado.

Es entender, en definitiva, que adoptar las mejores prácticas para lograr una resiliencia en sus sistemas informáticos y dar cara a ciberdelincuentes que evolucionan permanentemente en la sofisticación de sus ciberataques, es dinero bien invertido.

Roberto Jara, 

socio líder área Tech, Grant Thornton Chile