Conferencia ahondó en los desafíos de la ciberseguridad en un entorno con constante aumento de incidentes de seguridad

“Es importante y necesario conectar el mundo académico con la realidad, haciendo un balance de lo que ha sido la ciberseguridad este año y que se nos viene para el 2024. Lo más probable es que va a seguir siendo un año muy activo, como este y no solo a nivel regional sino a nivel local”, señaló el director académico del diplomado en Ciberseguridad, José Lagos, al inicio del encuentro ¿Hacia dónde vamos en ciberseguridad? Balance 2023 y proyecciones 2024, realizado el 23 de noviembre por la unidad de Educación Ejecutiva (UEjecutivos) del departamento de Control de Gestión y Sistemas de Información de la FEN U. de Chile.

Claudia Santa Ana, líder en Ciberseguridad en Microsoft explicó que “los ataques de ransomware tiene un impacto mayor. Son cada vez más agresivos y están cada vez más enfocados en la infraestructura crítica. Además, el 70% de ellos estuvo dirigido en el último año a organizaciones de menos de 500 empleados. (…) Cada vez es más importante estar preparados y poder ser resilientes frente a este tipo de ataques”.

En su intervención, proporcionó una visión práctica y simulada de una cibercrisis, por medio de la exposición de un simulacro ficticio. “El plan de recuperación no es un plan que es del área de Tecnología. Es un plan que lo usa toda la organización. El área de Comunicaciones tiene que tomar su parte, ver lo que pasó ahí, quién lo dice, qué decimos, quién toma estas decisiones, quién decide efectivamente qué comunicamos y qué no comunicamos ¿Es la persona de Finanzas o no es la persona de Finanzas? Ojalá todas las empresas puedan hacer un ejercicio de simulacro de ransomware, para ver si sus planes son robustos”.

Sobre si es necesario comunicar un incidente sostuvo que “quedarnos con la información para nosotros no es beneficioso para nada. El entender y no compartir con nuestros proveedores, gobierno, equipos nacionales de respuesta lo único que hace es que esta industria del cibercrimen siga creciendo y volvamos a ser atacados”.

Lagos, quien en su ponencia habló sobre los cambios y desafíos de la ciberseguridad predictiva, dijo que “aplicar un modelo predictivo de machine learning permite entender por qué los usuarios son víctimas de phishing, como a su vez predecir el nivel de riesgo de que un colaborador sea víctima de phishing”.

Proyecciones

Un panel integrado por Alexandra Barros, gerente de Riesgo Operacional y Ciberseguridad en Coopeuch; Bryan Olguín, gerente de Ciberseguridad y Fraude en Banco Itaú; Juan Pablo Prat, gerente de Riesgo Operacional y Tecnológico en Banco Santander, profundizó en las proyecciones 2024 en ciberseguridad.

Prat dijo que los incidentes que ha habido muestran que la cadena de proveedores es clave. “El sector financiero es el que más ha invertido y ha avanzado en ciberseguridad en los últimos cinco años. Tenemos un nivel de defensa tal que resulta mucho más atractivo y efectivo y llegar por el tercero o cuarto (proveedor), que es tratar de atacar directamente. Eso requiere un nivel de exigencia a los proveedores fuerte. La experiencia nuestra es que el 98% de los proveedores no cumplen el nivel de exigencia que nosotros le ponemos en la primera revisión”.

¿Desafíos 2024? Barros sostuvo que la mirada es “aplicar modelos predictivos. En ir más allá. Ya no quedarme con lo que ya sabíamos, cómo me adelanto (…) Tenemos que ir avanzando en predecir”.

Olguín, en tanto, indicó que donde se tiene que avanzar es en incorporar framework de resiliencia, o sea en la preparación para enfrentar incidentes. Se debe “empezar a avanzar como organizaciones en esa estructura, (hacer) ese levantamiento, para saber cómo reaccionar”.

El senador Kenneth Pugh, por otra parte, sostuvo que la propuesta que existe desde el Parlamento es armar un sistema que incluya una nueva agencia de protección de datos autónoma, una nueva agencia nacional de ciberseguridad, un Centro de Protección de Infraestructura Crítica, que sea una entidad pública, como un CSIRT (Equipo de Respuesta ante Incidentes de Seguridad Informática); así como desarrollar una capacidad de conocimientos, bajo la propuesta de un instituto de ciberseguridad.