Los ataques informáticos a corporaciones de todo tipo están a la orden del día: en un mundo hiperconectado a la red, parece ya no lógico, sino extremadamente necesario trazar una estrategia de ciberseguridad para evitar situaciones indeseables que pongan en riesgo la custodia y la integridad de los datos de empresas y particulares. En este sentido, planteamos si merece la pena delegar la ciberseguridad en proveedores IT, o si es más conveniente asumir la tarea con los recursos propios.
Es un hecho que las personas y las empresas basamos cada vez más nuestra cotidianidad en los servicios que ofrece Internet: redes sociales, navegación, banca, compras en línea, aplicaciones corporativas… todos estos servicios convergen de forma natural hacia la nube, abandonando el tradicional modelo de silos estancos de información.
Sin embargo, toda la información que se comparte o se sube a Internet ya ha escapado al control total del usuario: un PC sin conexión de red preservará siempre la integridad de todos los datos almacenados en él, pero al carecer de conectividad con Internet, no podrá beneficiarse de todo el potencial que ofrecen las redes informáticas. De hecho, en la actualidad nos cuesta concebir un mundo sin Internet, ya no solo para los usuarios finales, sino también (y sobre todo) para las empresas.
En un tiempo en el que Internet no tenía un uso generalizado, la única forma de realizar ataques informáticos era mediante la instalación de virus a través soportes físicos de información (disquetes, discos ópticos, memorias USB); en respuesta, las compañías de seguridad informática desarrollaron los antivirus.
Posteriormente, cuando los ordenadores comenzaron a interconectarse en red, surgieron los primeros problemas serios de ciberseguridad, y los antivirus tuvieron que actualizarse con frecuencia para poder hacer frente a las nuevas amenazas, en forma de software malicioso o troyanos ocultos en ficheros.
En la actualidad, ni siquiera contar con los mejores antivirus protege totalmente a los usuarios de sufrir ciberataques: los ciberdelincuentes (hackers) siempre encuentran puntos de entrada para sortear las defensas informáticas y comprometer datos sensibles.
El problema está servido, y hasta las grandes empresas y administraciones públicas han llegado a ser objeto de los ciberdelincuentes, que secuestran información confidencial y piden rescates millonarios para recuperarla. En España tenemos muy reciente, por ejemplo, el ciberataque al SEPE, y en Estados Unidos, otro dirigido a la mayor red de oleoductos del país.
Para apoyar estas afirmaciones, un informe de la Interpol mostró que el número de ciberataques registrados en el sector privado había crecido hasta cifras alarmantes: la pandemia de COVID-19 obligó a casi todas las empresas y particulares a permanecer muchas horas diarias conectados a Internet, y esto supuso un campo abierto para que los hackers desplegaran todo su ingenio y registraran, durante el primer cuatrimestre de 2020, miles de correos basura y de URL maliciosas.
1. Proteger los datos sensibles o confidenciales. Un número de cuenta bancaria, la contraseña de un correo electrónico, un historial médico, los datos de contacto de un cliente… Ninguna empresa puede permitirse que la custodia de esta información se vea comprometida.
2. Cumplir con el RGPD. El Reglamento General de Protección de Datos es muy claro a la hora de atribuir la responsabilidad de la custodia de la información confidencial: las fugas de información están fuertemente penalizadas por el marco jurídico actual.
3. Preservar la reputación de la empresa. Si los clientes no cuentan con la máxima garantía de que sus datos vayan a estar seguros, es muy poco probable que se decidan a compartirlos. Esta realidad será una traba difícilmente salvable para establecer relaciones comerciales con ellos.
La opción que más tendencia está creando es la de delegar la ciberseguridad de la empresa en un proveedor de servicios MSSP (Managed Security Services Provider).
Las ventajas de contratar estos servicios son:
Podemos mencionar la compartición de datos confidenciales con un tercero como el principal aspecto negativo de esta práctica: para evitar este problema, muchos servicios de ciberseguridad garantizan la encriptación de los datos para que el personal designado pueda desplegar toda la estrategia sin acceder a la información. Adicionalmente, siempre existe el riesgo de fuga de datos, a pesar de todas las precauciones que se hayan tomado y, por supuesto, la dependencia de terceros en cuanto a tiempos de respuesta ante incidencias.
Esta solución, normalmente, solo está al alcance de compañías especializadas en tecnología, o grandes corporaciones que pueden costear los recursos propios de hardware, software y talento humano suficientemente cualificado.
La gran ventaja es que todo empieza y acaba dentro de la empresa: los responsables de ciberseguridad forman parte de la organización y no se ven en la obligación de compartir los datos con un tercero. Además, el tiempo de respuesta es inmediato, puesto que el departamento estará 100 % dedicado a esta tarea.
Sin embargo, el principal inconveniente será el elevado coste estructural de asumir la responsabilidad de la propia estrategia de ciberseguridad; adicionalmente, es difícil encontrar profesionales independientes que reúnan el grado de experiencia requerido para garantizar el mejor desempeño, sobre todo si solamente se ciñen a las casuísticas particulares de una empresa, y carecen de visibilidad sobre al resto de potenciales problemas a los que sí se enfrentan los proveedores de IT en su día a día.
La decisión de delegar o no la ciberseguridad de la empresa en proveedores IT ha de responder a una exhaustiva evaluación del binomio riesgo-beneficio. Lo que no es negociable es la necesidad de protegerse frente al cada vez más extendido campo de acción de los ciberdelincuentes. En última instancia, cada empresa tendrá que ponderar cuántos recursos le merecerá la pena invertir en ciberseguridad propia o gestionada por un tercero.
En AMBIT somos expertos desde hace más de 15 años en el desarrollo de estrategias y soluciones IT para tu compañía. Somos consultores e integradores en múltiples ámbitos y si quieres conocer más de las soluciones que te podemos ofrecer en el campo de la salud, no dudes en ponerte en contacto con nosotros.