76

DOSSIER | Mercado
Dimensión de las amenazas

Ciberseguridad,
la materia pendiente

¿Qué es “dwell time”? No hay nadie vinculado con informá- lado, donde comienzan los ataques. Por eso es esencial
tica y en especial con todos los temas ligados a la ciberse- entender quién eligió a una empresa como target. Saber
guridad que ignore su significado. En pocas palabras, es el quién es o será el posible agresor.
periodo entre el momento en que un incursor penetra en En buena medida, toda la literatura –y las prácticas y expe-
una red de computadoras, y el instante en que se lo detec- riencias– sobre ciberseguridad toman este punto de parti-
ta. Para los especialistas, el periodo es entre dos y tres me- da. Lo que se refleja en esta investigación especial acome-
ses. Esto es lo que está ocurriendo en todo el mundo. tida por KPMG y Mercado para perfilar y definir el estado
Mercado Abril-Mayo 2020

Es un serio problema en el ámbito IT. Pero también, simul- de la cuestión en el país, en un momento candente. Como
táneamente, un gran riesgo financiero. Por eso los aseso- en toda crisis, los ataques aumentaron exponencialmente
res financieros insisten en que es preciso comprender la durante la pandemia y se convirtió en uno de los grandes
verdadera dimensión de la amenaza. No es un ataque de temas no sanitarios de hoy.
una computadora contra otra. Hay una persona del otro

u-076-dossier.indd 76 2/6/2020 16:44:35

 77

Mercado
Invertir ayuda pero no alcanza

Las empresas sobrestiman su

resiliencia en seguridad informática
Invierten hoy para protegerse de ataques cibernéticos, pero eso les suele dar una falsa sensación
de seguridad. Invertir en tecnología ayuda, pero no alcanza. La verdadera resistencia viene solo
con una dedicación sostenida para crear una serie de capacidades estratégicas y desarrollar
madurez en el campo de la ciberseguridad.
Todos los ejecutivos saben que la ciberse- al análisis post mortem de las violaciones de su organización reaccionaría correctamente
guridad es un tema fundamental porque es datos: a pesar de un alto nivel de conciencia a un ciberataque. La preocupación está justi-
central para proteger los activos y la repu- entre los altos ejecutivos y de importantes in- ficada. Una enorme cantidad de factores tie-
tación de la organización. Las empresas es- versiones en tecnología de ciberseguridad, nen que funcionar bien para lograr resiliencia
tán invirtiendo más que nunca para conocer las empresas siguen vulnerables y esas debi- en ciberseguridad y esa complejidad abruma
dónde son vulnerables, para implementar las lidades son aprovechadas sin consideración. a los ejecutivos.
últimas soluciones en seguridad y para con- Un factor clave en muchas de esas violacio- El primer lugar para ir a buscar soluciones
tratar al talento necesario para contar con nes es que los líderes no entienden las carac- suele ser la tecnología. Las grandes empresas
una fuerte ciberdefensa. terísticas de un buen plan de ciberseguridad usan una cantidad de productos y servicios
Una investigación que realizaron integran- y subestiman el rigor que es necesario apli- para satisfacer sus necesidades e invierten en
tes de la consultora Bain encuentra que 97% car para lograrlo. En consecuencia, encaran el políticas y estándares para que sus defensas
de las grandes firmas han ordenado audito- tema a nivel táctico cumpliendo con los pa- se mantengan proactivas y actualizadas.
rías o evaluaciones de ciberseguridad en los sos, pero sin atender el trabajo serio de ela- El mayor desafío consiste en asegurar cons-
últimos tres años y que tres de cada cuatro borar las profundas capacidades estratégicas tancia para que esas políticas y estándares se
tienen altos ejecutivos dedicados exclusiva- necesarias para lograr una verdadera resilien- apliquen adecuadamente en todos los nive-
mente a ese tema, muchas veces un director cia en ciberseguridad. les de las organizaciones globales complejas.
ejecutivo en ciberseguridad. Incluso la aplicación de un simple parche de
A pesar de esa inversión, la investigación en- Identificar las debilidades comunes seguridad puede llevarles meses o incluso
cuentra que muchas firmas siguen demasia- Hasta cierto punto, los ejecutivos parecen años. Eso deja a los sistemas vulnerables en
do confiadas en la eficacia de sus procesos comprender los límites de su postura en ci- el ínterin. Algunas de las grandes violaciones
porque no terminan de comprender la com- berseguridad. En una encuesta reciente de de datos de los últimos años se produjeron
plejidad del desafío. la firma de seguridad FireEye, algo más de la por fallos en la actualización de los servido-
Específicamente, no están desarrollando mitad de los que respondieron no cree que res web contra vulnerabilidades conocidas.
las capacidades estratégicas de largo plazo
esenciales para un sistema sólido de ciber-
seguridad. Los bancos locales, el principal objetivo
Si bien las empresas se esfuerzan por cum-
plir con las mejores prácticas, solo 43% de Los datos de la plataforma Fortinet revelaron que tet. DoublePulsar es un ataque tipo “backdoor”
los ejecutivos creen que sus firmas siguen las en América Latina y el Caribe se registraron 85 que utilizó el ransomware WannaCry y en intru-
mejores prácticas en cíberseguridad. Es más, billones de intentos de ciberataques en 2019. En siones a bancos de la región en 2018. Teniendo
un análisis más profundo muestra que solo Argentina fueron más de 1.590 millones de in- en cuenta que aprovecha vulnerabilidades ya
alrededor de 24% cumplen con los requisitos. tentos de ciberataque el año pasado. Eso se tra- resueltas, su uso continuo evidencia la gran hue-
Esta brecha representa una gran cantidad de duce a alrededor de 4,4 millones de intentos por lla de software sin actualizaciones en Argentina
ejecutivos y compañías que creen que están día, la mayoría de los cuales siguen la tendencia que afecta tanto a empresas como a individuos.
mejor protegidos de lo que en realidad están.
Mercado Abril-Mayo 2020

de Latinoamérica y están especialmente diseña- Por su parte, Emotet es un botnet dirigido a ban-
Mientras tanto, los ciberataques podrían cos- dos para entrar en redes bancarias, obtener infor- cos que permite que un atacante remoto puede
tar a los negocios unos US$ 6 billones (millo- mación financiera y robar dinero y datos. emitir comandos para realizar diferentes opera-
nes de millones) anuales para 2021, el doble Entre las amenazas más detectadas durante 2019, ciones como descargas de malware y ransomware.
que en 2015. se encuentran dos ataques dirigidos específica-
Una y otra vez surge un patrón conocido en mente al sector bancario: DoublePulsar y Emo-

u-076-dossier.indd 77 2/6/2020 16:44:36

 78

DOSSIER |
Mercado
La tecnología es solamente una herramienta. las compañías encuestadas dan regularmente representan los terceros, pero menos de la
Como hay tantos ciberataques que comienzan capacitación en ciberseguridad al personal y mitad de las compañías evalúa regularmente
aprovechando vulnerabilidades en la conduc- solo 55% brindan adecuada capacitación a sus la postura en seguridad que tienen sus pro-
ta de los empleados, la educación también es profesionales en ciberseguridad. veedores y socios.
sumamente importante. Menos de la mitad de Otra vulnerabilidad común es el riesgo que

Tendencias claves

El 29% de empresas locales

víctima de ciberataques
Solo en 2019, los ciberataques costaron más de US$ 1 billón (millones de millones), una cifra
que representa un aumento respecto a los US$ 600.000 millones que tuvo en 2018. El costo es
tres veces más alto que el causado por los desastres naturales
Los datos se han obtenido de un estudio rea- embargo, la mayoría de los entrevistados
lizado por la consultora Ipsos para Microsoft (76%) dijo que es poco o nada probable
Argentina que revela, además, que la mayoría que su empresa sufra de algún incidente.
de los ejecutivos (76%) considera poco pro- • La seguridad informática para los directi-
bable ser víctima de algún ataque. Apenas el vos de las compañías de Argentina tiene
17% tiene personal encargado de la seguri- una prioridad media, ya que solo el 44%
dad informática y casi tres de cada 10 (27%) manifestó que es una preocupación alta o
dijeron que no toman absolutamente ningu- muy alta.
na precaución para evitar ataques. • Solo el 17% de las empresas cuenta con al-
El Reporte de Seguridad de Microsoft del últi- gún especialista en seguridad, esto deja a
mo año incluye cómo evolucionaron los ata- la gran mayoría con altos riesgos de sufrir
ques que la Argentina recibió en 2019. ciberataques.
Las amenazas a la ciberseguridad son cada • La principal preocupación es la protec-
vez más complejas y evolucionan de manera ción contra fugas de información (74%)
más rápida. Los conocidos malware y el ran- seguido de que un ataque afecte a la
somware se convierten en amenazas pasadas continuidad operacional de la compañía
de moda, aquellas que apuntan a la identi- (67%) y de amenazas como phishing, ran-
dad se hacen más fuertes. somware (66%).
Microsoft, junto a VU Security, analizaron y
presentaron las cinco tendencias en ciberse- Tendencias en ciberdelitos
guridad que llegan en 2020. La ciberdelincuencia es una actividad econó-
mica multimillonaria y la ciberseguridad es
Con prioridad media dores para prevenir amenazas, el 35% contra- uno de los desafíos más importantes de la
El 29% de las empresas argentinas dijo que ta proveedores externos mientras que el 27% era digital. En la última década la tecnología
fue víctima de ciberataques; sobre el total de no toma ninguna medida. evolucionó muy rápido y al mismo ritmo lo
afectadas, el 35% lo fue durante los últimos De acuerdo a los datos obtenidos, las empre- hicieron los ataques cibernéticos.
12 meses. Las principales consecuencias fue- sas mejor preparadas en temas de cibersegu- Según datos del Reporte de Seguridad de
ron el daño a programas o sistemas (58%), la ridad son aquellas que sufrieron ataques en Microsoft tanto a escala mundial como en
pérdida temporal (58%) o permanente de ar- el pasado, ya que las medidas que se toman América latina, el índice de malware está de-
chivos (42%) y la alteración o destrucción de son de carácter reactivo. creciendo. Durante el 2019 Argentina tuvo
datos personales (30%). Otros datos destacados son: el segundo índice más bajo en América lati-
Mercado Abril-Mayo 2020

Respecto a las medidas de protección toma- • Un 51% de las empresas declaró sentirse na después de Chile. En nuestro país se en-
das para prevenir ciberataques, la mayoría vulnerable frente a eventuales ataques. Las contró un 5,43% de malware, una cifra muy
(56%) adquiere software –antivirus, firewall, compañías pertenecientes al sector de ser- por debajo del 24,67% de Etiopía, el país más
antispam, etc.– para mejorar la seguridad. El vicios son las que manifestaron una ma- afectado a escala mundial.
36% invierte en capacitaciones a los trabaja- yor sensación de vulnerabilidad (57%). Sin El ransomware es un tipo de ataque que tam-

u-076-dossier.indd 78 2/6/2020 16:44:36

 80

DOSSIER |
Mercado
bién viene decreciendo; de hecho, en 2019, aprendieron a tener resguardada su informa- que para obtener credenciales de acceso. El
Argentina tuvo el nivel más bajo del Suda- ción en la nube. Esto los hace menos suscep- nivel de sofisticación de los ataques está me-
mérica. Los atacantes se volcaron más hacia tibles a ser víctimas de este tipo de ataques. jorando, lo que hace que sea más difícil de-
las empresas porque muchas veces pagan El phishing continúa creciendo a escala glo- tectarlo y bloquearlo.
los rescates, mientras que los consumidores bal; sigue siendo el principal vector de ata-

Vulnerabilidad

Siete predicciones para

tener seguridad en 2020
Según los pronósticos de ciberseguridad de WatchGuard Threat Lab, a pesar de que las ame-
nazas que nos acechan no serán menos intensas, 2020 sería el año de la seguridad simplificada.
El ransomware es una actividad de miles de las que disfrutan los europeos.
millones de dólares para los hackers. En la Hasta ahora, solo California respondió apro-
última década se vieron diferentes cepas de bando su Ley de Privacidad del Consumidor
este malware que causaron estragos en to- de California (CCPA), que entró en vigencia a
das las industrias. El ransomware continuará principios de 2020. A pesar de que un sena-
evolucionando para maximizar las ganancias. dor que aprobó el CCPA en California propu-
En 2020, WatchGuard Threat Lab cree que so un proyecto de ley de la Ley Federal de Pri-
se centrará en la nube. vacidad de los Datos del Consumidor (CDPA),
Recientemente, el ransomware “escopeta” no se cree que obtenga suficiente apoyo para
no dirigido se estancó y existe una muestran aprobarlo en todo el país en 2020.
preferencia por ataques dirigidos contra in- Sin embargo, se espera que más estados re-
dustrias cuyas empresas no pueden sufrir clamen la protección de sus propios actos de
períodos de inactividad. Estos incluyen aten- privacidad del consumidor a nivel estatal. En
ción médica, Gobiernosy sistemas de control 2020, WatchGuard anticipa que 10 o más es-
industrial. tados promulgarán leyes similares a la CCPA
El ransomware es una actividad de miles de de California.
millones de dólares para los hackers. En la úl-
tima década se vieron diferentes cepas de Los sistemas de registro electoral serán ob-
este malware que causaron estragos en to- jetivo durante las elecciones en 2020
dos los sectores. A medida que las empresas La piratería electoral fue un tema canden-
mueven sus servidores y datos a la nube, se te desde las elecciones estadounidenses de
convirtió en una ventanilla única para todos 2016. En los últimos cuatro años, los ciclos
nuestros datos más importantes. pañías fueron multadas con millones de eu- de noticias cubrieron todo, desde informa-
ros por infracciones del GDPR. Incluidos jui- ción errónea difundida en las redes sociales
GDPR llega a los Estados Unidos cios masivos de €50 millones y £99 millones hasta presuntas infracciones de los sistemas
Hace dos años entró en vigor el Reglamen- en 2019 contra Google y Marriott, respecti- estatales de votación.
to General de Protección de Datos (GDPR), vamente. Si bien la carga que recae sobre las Durante las elecciones presidenciales de
que protege los datos y los derechos de pri- empresas puede ser intensa, las protecciones EE.UU. de 2020, se cree que los actores de
vacidad de los ciudadanos de la Unión Euro- proporcionadas a las personas son muy po- amenazas externas se centrarán en las bases
pea. Hasta el momento, pocos lugares fuera pulares. de datos de votantes estatales y locales. Con
de la UE tienen leyes similares, pero Watch- Mientras tanto, EE.UU. sufrió una plaga en la el objetivo de crear un caos electoral y activar
Guard espera ver que más Estados estén más privacidad de las redes sociales en los últi- alertas de fraude.
cerca de igualarlo en 2020. mos años, sin un equivalente GDPR real para Los expertos en seguridad ya demostraron
Mercado Abril-Mayo 2020

El RGPD se reduce a imponer restricciones proteger a los consumidores locales. A medi- que muchos de los sistemas en los que con-
sobre cómo las organizaciones pueden pro- da que organizaciones como Facebook filtran fiamos para el registro de votantes y la vo-
cesar los datos personales, y qué derechos más y más de nuestros datos personales, los tación el día de las elecciones sufren vulne-
tienen las personas para limitar quién puede ciudadanos estadounidenses comienzan a rabilidades digitales significativas. De hecho,
acceder a esos datos. Hasta la fecha, las com- clamar por protecciones de privacidad como los atacantes probaron algunas de estas de-

u-076-dossier.indd 80 2/6/2020 16:44:37

 81

Mercado
bilidades durante las elecciones de 2016, ro- phishing y otras amenazas de seguridad. Wat- Tres cuartas partes de las empresas afirman
bando datos de registro de votantes de va- chGuard cree que en 2020, una cuarta parte que esta escasez en habilidades de ciberse-
rios estados. de todas las violaciones de datos involucra- guridad los afecto.
Si bien estos atacantes patrocinados por el es- rán a teletrabajadores, dispositivos móviles y Los atacantes encontrarán nuevas vulnerabi-
tado parecían trazar la línea evitando alterar activos fuera de las instalaciones. lidades en los teléfonos móviles 5G.
los resultados de la votación, se sospecha que El estándar celular más nuevo, 5G, se está im-
su éxito anterior los alentará a manipular el sis- La brecha de habilidades de ciberseguridad plementando en todo el mundo y promete
tema de registro de votantes. Esto para dificul- se amplía grandes mejoras en velocidad y confiabili-
tar que los votantes legítimos presenten sus La ciberseguridad, o la falta de ella, se ge- dad. Desconocido para la mayoría de las per-
votos y cuestionar la validez de los resultados. neralizó. Parece que no pasa un día en que sonas, en grandes áreas públicas como ho-
el público en general no se entere de algu- teles, centros comerciales y aeropuertos, la
Durante 2020, el 25% de todas las violacio- na nueva violación de datos o ciberataque. información de voz y datos de su dispositivo
nes ocurrirán fuera del perímetro Mientras tanto, los consumidores también to- habilitado para celulares se comunica tanto
El uso de dispositivos móviles y los emplea- maron conciencia de cómo su privacidad de a las torres celulares como a los puntos de ac-
dos remotos aumentó el teletrabajo. Una en- datos personales contribuye a su propia se- ceso wi–fi ubicados en estas áreas públicas.
cuesta reciente realizada por WatchGuard y guridad. Como resultado, no sorprende que Los grandes operadores de telefonía móvil
CITE Research dio cuenta de que 90% de las la demanda de experiencia en seguridad ci- hacen esto para ahorrar ancho de banda de
empresas del mercado medio tienen emplea- bernética esté en su punto más alto. red en áreas de alta densidad. Sus disposi-
dos que trabajan la mitad de su semana fuera Según WatchGuard el problema es que no tivos tienen inteligencia incorporada para
de la oficina. Si bien el trabajo remoto puede se cuenta con los profesionales calificados cambiar automática y silenciosamente entre
aumentar la productividad y reducir el des- para satisfacer esta demanda. De acuerdo celular y wi–fi. Las investigaciones de segu-
gaste, viene con su propio conjunto de ries- con los últimos estudios, casi tres millones ridad expusieron algunos defectos en este
gos de seguridad. Los empleados móviles a de trabajos de ciberseguridad quedaron sin proceso de transferencia de celular a wi–fi.
menudo trabajan sin ninguna seguridad de cubrir durante 2018. Las universidades y las WatchGuard sostiene que es muy probable
perímetro de red, perdiéndose una parte im- organizaciones no están graduando a candi- que veamos una gran vulnerabilidad de se-
portante de una defensa de seguridad en ca- datos cualificados lo suficientemente rápido guridad de 5G a w-fi en 2020. Esto a su vez
pas. Además, los dispositivos móviles pueden como para satisfacer la demanda de nuevos podría permitir a los atacantes acceder a la
enmascarar signos reveladores de ataques de empleados de seguridad de la información. voz y / o datos de teléfonos móviles 5G.

Empresas más vulnerables

Los ataques son tra que ahora hay más presión sobre los CISO:
a escala global, el 57% de ellos considera que

inevitables
las complejas infraestructuras relacionadas
con la nube y la movilidad son un gran de-
safío, y al 50% le preocupa el aumento conti-
nuo de los ataques cibernéticos.
Los responsables de la seguridad informática en empresas de Los CISO creen que las pandillas criminales
con motivación financiera (40%) y los ata-
todo el mundo se sienten impotentes cuando se trata de luchar ques internos con fines maliciosos (29%) son
los mayores riesgos para sus empresas, y que
contra la ciberdelincuencia. Carecen de influencia en la sala estas son amenazas extremadamente difíci-
les de evitar, ya sea porque se enfrentan a ci-
de juntas y les resulta difícil justificar los presupuestos que ne- berdelincuentes “profesionales” o porque son
ayudados por empleados que debieran estar
cesitan. en el bando correcto.

Este fenómeno es una de las conclusiones de De la nube a los malintencionados: la Las dificultades de la justificación pre-
un reciente informe presentado por Kaspers- superficie de ataque se está ampliando supuestaria están haciendo a los CISO
ky Lab, en el que se encontró que el 78% de en las empresas actuales competir contra otros departamentos
los CISO (Chief Information Security Officer) en El aumento de amenazas cibernéticas, com- Según el informe, los presupuestos asigna-
Mercado Abril-Mayo 2020

América latina ahora creen que los ataques binado con la transformación digital que dos a la ciberseguridad están creciendo. Un
por deficiencias en la seguridad cibernética muchas empresas están experimentando poco más de la mitad (55%) de los CISO en
son inevitables, y los grupos que tienen una actualmente, hace cada vez más importante América latina espera que sus presupuestos
motivación financiera son su principal preo- la función del CISO en las empresas de la ac- aumenten en el futuro, mientras el 38% de
cupación. tualidad. El informe de Kaspersky Lab mues- los encuestados globalmente espera que es-

u-076-dossier.indd 81 2/6/2020 16:44:37

 82

DOSSIER |
Mercado
tos sigan siendo los mismos. demostrar un rendimiento más claro del ca- la toma de decisiones de la empresa en este
No obstante, los CISO se enfrentan a grandes pital invertido. momento. Sin embargo, dado a que la trans-
desafíos presupuestarios, ya que es casi im- formación digital se vuelva esencial para la
posible para ellos ofrecer un claro rendimien- A medida que avanza la transforma- dirección estratégica de las grandes empre-
to del capital invertido o una protección al ción digital, los CISO necesitan ser escu- sas, la ciberseguridad también debería ha-
100% contra los ataques cibernéticos. chados por los directivos de la empresa cerlo. La función del CISO debe desarrollarse
Por ejemplo, más de un tercio (36%) de los Los ataques cibernéticos pueden tener con- para reflejar estos cambios, dándoles la capa-
CISO en el mundo dice que no pueden tener secuencias drásticas para las empresas: más cidad de influir en las decisiones.
certeza de los presupuestos de seguridad de de una cuarta parte de los encuestados en el El gran desafío en América latina es cam-
TI que se requieren, ya que no pueden garan- estudio global de Kaspersky Lab identificó los biar la percepción de los líderes de las em-
tizar que no haya ninguna vulnerabilidad. Y, daños a la reputación (28%) y los financieros presas. Históricamente, solo se toma en se-
cuando una empresa contempla los presu- (25%) como las consecuencias más críticas de rio la inversión en seguridad después de una
puestos de seguridad como parte del gasto un ataque cibernético. violación o filtración de información seria.
total de TI, los CISO se van a ver compitiendo Sin embargo, a pesar del impacto negativo Desafortunadamente, antes de eso, las ne-
con otros departamentos. de un ciberataque, solo 26% de los líderes gociaciones en relación a la ciberseguridad
La segunda razón más probable para no ob- de seguridad de TI encuestados son miem- siempre favorecen al precio más bajo. Lo más
tener presupuesto es que la seguridad a ve- bros de la junta directiva en sus respectivas preocupante es que en lo que más y más em-
ces es parte del gasto general de TI. Además, empresas. De los que no son miembros de presas se unen a la transformación digital, las
un tercio de los CISO (33%) encuestados glo- la junta, uno de cada cuatro (25%) cree que posibilidades de que sufran una brecha de
balmente dijeron que el que les podrían asig- debería serlo. seguridad aumenta.
nar se prioriza para proyectos digitales, para La mayoría de los líderes de seguridad de TI
la nube u otros proyectos de TI que pueden (58%) cree que participa adecuadamente en

Detección de riesgos

Las empresas temen no poder

responder a las amenazas
Más de la mitad de las empresas encuestadas para un estudio de LNS Research aseguraron que
sus instalaciones industriales han sufrido alguna violación a la ciberseguridad, lo que es moti-
vo de preocupación para muchos empresarios de la industria, que temen perder información
importante que perjudique su producción.
Para combatir estas amenazas impredecibles Los Servicios de Detección de Amenazas ayu- tornar más rápido a un estado de opera-
de ciberseguridad industrial, que evolucio- dan a proteger las operaciones conectadas ción completo.
nan rápidamente y a diario, Rockwell Auto- de tres formas claves:
mation propuso un nuevo servicio de detec- 1. Identificar y proteger: Identificando todos “Un aspecto aterrador de las amenazas de se-
ción de amenazas denominado Claroty, firma los activos de control industrial conecta- guridad es lo que no se sabe sobre ellas: qué
mundial con la que KPMG tiene un acuerdo dos en red y sus vulnerabilidades, para técnicas usarán, qué vector de ataque apro-
estratégico. ayudar a la empresa a saber que proteger. vecharán, qué vulnerabilidades explotarán
Servicios de ciberseguridad como este prote- 2. Detectar: Monitoreando las redes no solo –explica Umair Masud, director de Estrate-
gen las cadenas de suministro de amenazas por amenazas conocidas sino, más impor- gia de Tecnología de Seguridad de Rockwell
desconocidas y brindan beneficios operacio- tante aún, por tráfico o comportamiento Automation–. Los servicios le entregarán
nales. La plataforma Claroty crea un inventa- anómalo, para alertar a la empresa de un tranquilidad a las compañías al proteger de
rio de los activos de la red industrial de un incidente de seguridad, posiblemente an- amenazas impredecibles, no solo una de sus
Mercado Abril-Mayo 2020

usuario, monitorea el tráfico entre ellos y ana- tes de que suceda. instalaciones, sino su cadena de suministros
liza las comunicaciones en su nivel más pro- 3. Respuesta y recuperación: Desarrollan- completa”.
fundo. Las anomalías detectadas se informan do planes para contener, erradicar y recu-
al personal de planta y de seguridad con in- perarse de los ataques para mantener las
formación procesable. operaciones en funcionamiento o para re-

u-076-dossier.indd 82 2/6/2020 16:44:37

 84

DOSSIER |
Mercado
Tecnologías inteligentes conectadas

¿Es la Internet de las tos, como los fabricantes de automóviles,

deben abordar la seguridad durante el pro-

Cosas o de los peligros?

ceso de diseño. La pregunta es, ¿cómo?
Los siguientes consejos pueden ayudar a
garantizar las consideraciones de seguridad
adecuadas en el diseño de los dispositivos
La consultora McKinsey & Company al analizar la cibersegu- conectados para todas las aplicaciones (no
solo los automóviles):
ridad y los automóviles conectados, afirma que “los productos 1. Evalúe el caso de uso de sus dispositivos y
servicios durante la fase de diseño del pro-
solo pueden ser seguros si se diseñan teniendo en cuenta la ducto. Analice los diversos riesgos y cree
planes de mitigación en el diseño general
seguridad”. del producto.
2. Asegúrese de poner a su equipo a traba-
Los fabricantes de automóviles son repre- jar haciendo pruebas para validar su mo-
sentativos de las oportunidades y los de- delo de amenaza. Ponga en práctica una
safíos que enfrentan todos los fabricantes evaluación continua con cada iteración del
de hardware de Internet de las Cosas (IoT). producto para asegurarse de que el mo-
IoT está transformando la industria automo- delo de amenaza siga cumpliendo con sus
triz, ya que los fabricantes de automóviles es- escenarios de amenaza.
tán implementando una increíble gama de 3. Integre sus procesos generando y almace-
tecnologías inteligentes conectadas. nando sus claves privadas de forma segu-
Pero además de crear una experiencia de ra, ya sea utilizando módulos de seguridad
usuario increíble, deben centrarse en la segu- de hardware (HSM) o una de las principa-
ridad del usuario. Un reciente informe de Mc- les plataformas de IoT basadas en la nube.
Kinsey & Company sobre la ciberseguridad y 4. Los certificados de infraestructura de clave
los automóviles conectados afirma que “los pública (PKI) desempeñan un papel funda-
productos solo pueden ser seguros si se di- mental en su solución de IoT, ya que va-
señan teniendo en cuenta la seguridad”. Esa lidan la identidad de un dispositivo para
mentalidad, llamada Secure by Design, debe que solo los dispositivos autorizados, los
ser el principio rector para todos los disposi- usuarios y los servidores puedan acceder
tivos de IoT, sin importar su tamaño o aplica- al dispositivo. Los certificados también se
ción de negocio o consumidor. utilizan para cifrar los datos enviados des-
Los productos necesitan seguridad en todo de y hacia el dispositivo. Además, los certi-
lo que se refiere a IoT. Incluso porque hay una dispositivos médicos eléctricos con fines po- ficados de firma de código garantizan que
gran cantidad de datos privados del consu- líticos, financieros o personales. las actualizaciones por aire se firmen con
midor que se transfieren hacia y desde estos Más proveedores de partes crean una cadena un código a prueba de manipulaciones y
servicios vulnerables al ataque si se dejan sin de suministro fragmentada. Eventualmente, que el dispositivo se inicie de forma segura
garantía. las compañías como los fabricantes de auto- en todo momento.
móviles que incorporan docenas de sistemas 5. La autenticación de escala es importante.
Mayor conectividad, mayores riesgos conectados se encuentran con múltiples dis- El uso de tecnologías estandarizadas y pro-
A medida que los autos se vuelven más com- positivos de múltiples proveedores que no badas, como certificados digitales y pro-
plejos, requieren más unidades de control interactúan, no son ciberseguros, usan dife- tocolos de registro de certificados como
electrónico y líneas de código. La conectividad rentes protocolos y generan más compleji- SCEP, EST y API seguras, le permitirá esca-
permite capacidades de auto conducción o dad a un mayor costo. Lo que permite que lar sus operaciones de seguridad a medida
asistencia al conductor, y características de se- establecer políticas de seguridad sea más di- que aumenten sus volúmenes.
guridad mejoradas. Pero la conectividad tam- fícil, y algo que no es seguro nunca debería Según el informe de McKinsey al que se hizo
bién aumenta el riesgo, ya que estos comple- permitirse conectarse a Internet. referencia, esto es válido para todos los fabri-
jos sistemas de seguridad y navegación son cantes de IoT: “No hay una “bala de plata” que
más vulnerables a ser hackeados. Seguro desde el diseño pueda eliminar los problemas de ciberseguri-
Mercado Abril-Mayo 2020

Eso es cierto en todos los dispositivos que se La responsabilidad recae en todos los fabri- dad. Lo que está claro es que los futuros dise-
conectan a Internet. Por ejemplo, la investi- cantes: aquellos que fabrican componentes ños de automóviles deben ser “nativos de la
gación del Journal of the American College of individuales, como bolsas de aire para auto- ciberseguridad”, integrando estas preocupa-
Cardiology advierte que los hackers informá- móviles conectados, y aquellos que incorpo- ciones en las primeras etapas de desarrollo”.
ticos pueden atacar a los marcapasos y otros ran múltiples componentes en sus produc-

u-076-dossier.indd 84 2/6/2020 16:44:37

 85

Mercado
Evaluar el riesgo

Los hackeos implican sonas las que cliquean en links o en adjun-

tos de e-mails o que van a sitios web donde

misterio
no deberían ir”. Eso dice Dave Oswald, de Fo-
rensic Restitution de Toronto. En su experien-
cia, casi 80% de las veces el ataque se puede
rastrear hasta su origen y son las manos de
Son frecuentes y son graves. Los expertos nunca dicen toda la un empleado y no porque sean descuidados
sino porque las trampas son cada vez me-
verdad. El problema de la ciberseguridad se está agravando. jores. Por eso no tiene sentido recriminar a
un empleado, eso solo crea una cultura en la
Se calcula que un tercio de las organizacio- veces los empleados usan sitios porno en el que los empleados tienen miedo de contar
nes estadounidenses sufrió un cibercrimen trabajo. Los especialistas emplean frases de lo que pasa, dice Mika Aalto, CEO de una fir-
en los dos últimos años. IBM, por su parte, recomendación generalizadas diciendo, por ma que entrena al personal a evitar el fraude.
estima que el costo promedio de cada una ejemplo, “eviten sitios sospechosos”. Cuando
de esas violaciones fue de alrededor de US$ ya ha sido perpetrado el robo y se hace el “post 4. No dicen cuál serio fue el problema real-
3,9 millones. mortem”, ahí aparece la revelación. Jason Mc- mente. De acuerdo a Oswald, generalmen-
A eso se debe la popularidad de los exper- New, de Stronghold Cyber Security, dice que te los expertos en ciberseguridad prefieren
tos en ciberseguridad, que son los encarga- eso pasa más seguido de lo que la gente cree. no decir cuántos datos fueron infiltrados, al
dos de evaluar el riesgo que corre una em- menos al principio. Prefieren evitar tener que
presa de que le roben información. Pero el 2. Usted es un target. Según McNew, no im- volver y decirle al cliente que las pérdidas
tema es tan delicado que con frecuencia es- porta si usted es grande o pequeño, si tiene fueron peores de lo que se pensó al principio.
tos expertos optan por ser “económicos con mucha información o poca. Los que salen a
la verdad”. Así, al menos, opina Dave Gordon depredar no hacen distinciones, son como 5. Es probable que no haya posibilidad de
en una columna que titula “Lo que los exper- pescadores que tienden sus redes y recogen estar completamente a salvo. Aalto asegu-
tos en ciberseguridad no le dicen” y que pu- lo que sea que encuentren en su camino. ra que una infraestructura grande es casi im-
blica Quartz. posible de defender. Para demostrarlo afirma
Aquí, según él, lo que no dicen: 3. El software tiene sus límites en cuanto a que todas las empresas del Fortune 500 han
lo que puede hacer. “Se pueden gastar for- sido hackeadas.
1. Muchos fallos de seguridad en las em- tunas en los sistemas más actualizados y eso
presas comienzan con pornografía. O sea, a es muy aconsejable. Pero son siempre per-

Ciber-(in)seguridad en Internet de las Cosas

Internet de las cosas (IoT) va creciendo. Las em- biar. Otra vulnerabilidad. ta de actividad anormal.
presas la están integrando en todas las áreas de Todo esto, sumado a la multitud de dispositivos Además, la autenticación verifica cualquier dis-
la operación. La duda es si en el apuro por adop- de IoT que corren una enorme cantidad de pla- positivo conectado a la red en un nivel más so-
tar la transformación digital no se estarán olvi- taformas de software, complica la tarea del CISO fisticado que el de usuario y contraseña. Usa un
dando de consultar con el responsable de segu- y deberían preocupar al CEO. Un ataque realiza- certificado digital que impide que un termostato
ridad informática, o CISO. do a través de IoT podría ser catastrófico. Muchas hable con un hacker.
Como IoT conecta el mundo físico con el mun- grandes organizaciones hacen controles de segu- Institucionalización. La automatización no alcanza.
do ciber, la huella digital de las empresas se ex- ridad regularmente, pero la escala del peligro que Con IoT habría que hacer el mismo due diligence
pande exponencialmente ofreciendo cada vez se acerca requiere dos medidas adicionales: au- que se le hace a cualquier infraestructura de TI.
más vulnerabilidades a los atacantes listos para tomatizar e institucionalizar. Para asegurarse de que los avances tecnológicos
aprovecharlas. no introduzcan fallas de seguridad, los CISO de-
Por su mismo diseño, los dispositivos IoT tienen Herramientas antihackeos berían participar en la compra, diseño o imple-
poca memoria. Por la exigencia de movilidad, de La primera asegura controles rutinarios y rápidos mentación de todas las transformaciones tecno-
duración de batería y de economía de precios, en los miles de diminutos sensores IoT. La se- lógicas, inclusive en IoT. Esto exige un cambio
los sensores terminan siendo delgados pero in- gunda ayuda al CISO a desarrollar herramientas paradigmático en el rol del responsable de segu-
Mercado Abril-Mayo 2020

defensos. Además, el software IoT no permite para hackeos cada vez más sofisticados. ridad informática; no se le debería aislar en un
parches automáticos, lo que va en contra de uno Automatización. La seguridad automática tiene silo dentro la organización; habría que involu-
de los principales preceptos de la ciberseguridad: varias formas. Las plataformas automatizadas crarlo en todos los aspectos de una institución,
emparchar inmediatamente. Como si eso fuera controlan los VPN y detectan intromisiones en desde la capacitación de los empleados hasta la
poco, los dispositivos suelen venir con contrase- curso para detenerlas. Con inteligencia artificial, selección de vendedores.
ñas previamente cargadas que no se pueden cam- las plataformas automatizadas pueden dar cuen-

u-076-dossier.indd 85 2/6/2020 16:44:37

 86

DOSSIER |
Mercado
Diálogo e involucramiento

La seguridad informática es
estratégica para el negocio
Si bien en el último tiempo hemos escuchado a muchos líderes de diferentes organizaciones y
profesionales hablar sobre la trasformación digital, no hay duda de que la situación que hoy
vivimos nos ha obligado a transformarnos o adaptarnos en muchos otros aspectos. La cibersegu-
ridad no ha sido una excepción.
Por Nicolás Manavella (*) como el control de acceso remoto, la gestión
de vulnerabilidades o la prevención de fuga
En este veloz camino de adopción o actua- de información con base en una clasificación
lización de tecnologías para trasformar pro- y gestión en la información no estructurada.
cesos rápidamente y disponibilizar servi- Si bien son conceptos de los que se habla
cios remotos a clientes internos o externos hace tiempo, hoy podemos ver que muchos
surgen muchas preguntas que se están co- de estos procesos son inmaduros y la exposi-
menzado a responder a medida que avanza ción es muy alta cuando se requiere reaccio-
la cuarentena. Muchos clientes preguntan, nar rápido o con mayor agilidad.
¿cómo agilizamos nuestro proceso de revi- Finalmente, es fundamental contar con un
sión de aplicación? La demanda para poner líder de ciberseguridad o CISO que asuma
operativa nuevos desarrollos para nuestros el desafío planteado por la organización y
clientes se conecten o reciban información la agilidad que requieren los cambios a im-
es exponencial. ¿Cómo aseguro las estacio- plementar. En este sentido el CISO debe evo-
nes de trabajo si la solución tecnológica que lucionar su rol de guardián tradicional al de
se utiliza todavía no está 100% operativa o guardaespaldas de confianza del CIO. Jugar
solo está disponible para un grupo específico es total. Durante mucho tiempo los ejecu- un rol de colaboración significativamente
de dispositivos por requerimientos de cum- tivos consideraban a la ciberseguridad un ampliado y estratégico, dirigido a garanti-
plimiento? ¿Cómo reforzamos la concienti- tema estrictamente técnico, hoy en día mu- zar que el CEO y los equipos dentro de la or-
zación? Dado que es necesario llegar más rá- chos están comenzando a tomar conciencia ganización se sientan seguros. Esto requiere
pido a todos los equipos de trabajo, ¿cómo que la ciberseguridad es parte esencial de su un compromiso del CISO para educar e im-
damos respuesta a las contingencias? Existe negocio. Las preguntas básicas que cualquier plementar nuevos modelos de ciberseguri-
un plan de recuperación, pero hay muchas líder podría hacerse son, ¿tengo claro cuál es dad, ya sea a través de su capacidad interna
cosas que no estaban contempladas. Segura- la información confidencial de mi negocio? o tomando servicios gestionados de terceros
mente habrá muchísimos otros ejemplos más ¿Dónde se guarda?; la información con la que cubran las demandas internas. Se requie-
o menos técnicos, pero no hay duda de que que tomo decisiones ¿tiene riesgos de inte- re desafiar el pensamiento tradicional para
estamos frente a una oportunidad de imple- gridad? ¿Estoy seguro de cómo y con quién desbloquear una mayor experimentación e
mentar grandes cambios en ciberseguridad. se comparte? Si la respuesta es “no”, tenemos innovación y un mayor “time to market” para
En el escenario actual, es necesario pensar en entonces mucho trabajo por hacer. Cualquier soluciones de negocio. También, iniciar un
cómo se deberían reconfigurar los procesos miembro del equipo podría ser un vector de nuevo tipo de conversación con el CIO que
de ciberseguridad para que se adapten rápi- ataque por donde nuestro negocio podría posibilite un enfoque de mayor colaboración
damente y sean más ágiles. sufrir pérdidas monetarias, interrupción com- continua que tenga como objetivo acelerar
pleta de las operaciones, dañar la imagen de la producción y generar nuevas ventajas en
Se necesita respaldo de los líderes la compañía o hacernos tomar decisiones de el mercado. Una etapa crítica en esta trans-
Uno de los principales pilares para la ciberse- negocio basadas en información cuya inte- formación organizativa inicial es fomentar el
guridad es el apoyo ejecutivo. Si bien la ma- gridad se ha comprometido. diálogo continuo entre el CISO y CIO, mien-
Mercado Abril-Mayo 2020

durez en ciberseguridad es diferente entre Un segundo aspecto importante es las capa- tras trabajan juntos para construir una orga-
las distintas organizaciones, no hay duda de cidades esenciales que se requieren tener o nización ágil y resistente.
que en aquellas que alcanzan mayores nive- desarrollar en ciberseguridad que, en la si-
les de madurez en sus procesos de ciberse- tuación actual, se aceleran más o se pone de (*) Socio a Cargo del Servicio de Ciberse-
guridad el involucramiento de sus directivos manifiesto la falta de madurez en procesos guridad KPMG Argentina

u-076-dossier.indd 86 2/6/2020 16:44:37

 88

DOSSIER |
Mercado
Vulnerabilidades en plantas industriales

Ciberseguridad en
infraestructuras críticas
La llamada Era Digital es el nombre que recibe el período de la historia donde aparecen y se
desenvuelven las TIC fuertemente. Este período –que tiene sus raíces alrededor de la década de
1980– se asocia con la revolución digital, momento en que aparecen elementos tecnológicos
asociados al teléfono, a los medios audiovisuales y a Internet, y que hacen que el flujo de infor-
mación se vuelva más rápido en un mundo globalizado.
Por Pablo Almada (*) nada acción de seguridad, considerando a es-
tos últimos como no factibles de recibir un
Esta nueva era atraviesa transversalmente a ciberataque por su ejecución ante una varia-
la sociedad toda produciendo cambios en los ble física.
hábitos, en el lenguaje, y en las costumbres En un ambiente industrial existe una distri-
de las personas. Así, se puede comprobar bución de dispositivos que actúan como el
cómo se gestaron nuevas maneras de rela- pilar silencioso de la seguridad operativa. En
cionarse, al punto que surgieron nuevos re- parte, y gracias a ellos, es que se ve reduci-
glamentos legales para prevenir delitos infor- do considerablemente el nivel de impacto de
máticos y como las empresas comenzaron a un ciber-incidente pero lo que estas medidas
invertir cada vez más dinero para evitar frau- no evitan, entre otros, es un paro de produc-
des y hackeos. ción o pérdida de visualización de la planta,
Durante 2019, el Estado identificó las infraes- tal como le pasó a Pemex en 2019. Aun así,
tructuras críticas con el objetivo de impulsar existen otros factores que evitan la ejecución
acciones concretas de las industrias del país exitosa de ataque en una planta industrial,
para asegurar los denominados “ciber–espa- como son una segmentación segura de re-
cios” o, en otras palabras, minimizar la proba- des, el control de acceso lógico y el monito-
bilidad y/o el impacto de un ataque ciberné- reo en la red de control.
tico. A partir de esa decisión, naturalmente Se trata del denominado “enfoque en capas”
surgieron interrogantes. Por ejemplo, ¿qué que las mejores prácticas de ciberseguridad
tan vulnerables son las infraestructuras críti- recomiendan, pero que muchas compañías
cas de Argentina ante un ciberataque?; ¿Cuál nueva planta de producción es necesario están lejos de implementar quizás porque
podría ser el efecto de un ataque cibernéti- realizar validaciones de diseño y concep- las soluciones de ciberseguridad requieren
co en términos económicos y sobre todo to industrial con la intención de garantizar inversión, esfuerzo y recursos capacitados.
geopolíticos? que todos los componentes del proceso es- Por eso es importante la realización de aná-
tén debidamente dimensionados y, por sobre lisis periódicos de ciberseguridad en las in-
Enfoque en capas todo, que existan mecanismos de seguridad fraestructuras críticas de una empresa des-
Es importante considerar algunos escenarios que actúen en riesgo físico a las instalaciones de la perspectiva del proceso operativo y no
donde pueden producirse ataques y, además, ante una falla. desde un enfoque puramente tecnológico,
ciertos conceptos de ciberseguridad en am- Estos componentes de seguridad evitan que como se observa usualmente en un ambien-
bientes industriales. Sobre todo para ofrecer el proceso industrial se vea afectado por una te corporativo de TI.
claridad de por qué, a pesar de los ciber-in- condición de emergencia. Muchos de estos
cidentes ocurridos a escala mundial como el son configurados vía red, realizando accio- (*) Director IT Advisory Ciberseguridad
sufrido por Norsk Hydro, una de las empresas nes mediante la activación o desactivación
Mercado Abril-Mayo 2020

Industrial KPMG Argentina

líder de producción de aluminio, no se han para evitar ser alcanzados por un ciberata-
producido consecuencias catastróficas como que. Otros equipos de seguridad utilizan una
la pérdida a gran escala de vidas humanas o lógica mecánica o hidráulica que, de acuer-
la explosión de una planta. do a una variación en los niveles de presión,
Sucede que previo a la instalación de una temperatura o nivel, realizarán una determi-

u-076-dossier.indd 88 4/6/2020 15:51:12

 89

Mercado
Parte indispensable de los sistemas de información

Ciberestrategia mediante
ciberentidades
No siempre la mayoría de las empresas o instituciones que trabajan con datos electrónicos la
tienen en cuenta, o mejor dicho, no como parte del “plan”.
Por Diego Bolatti (*) marcos de trabajo, definir estándares, buenas
prácticas.
La seguridad informática, en adelante ciber- Por otro lado, es importante incluir en los
seguridad, es un conjunto de acciones que se destinos de “aplicabilidad”, no solo la admi-
implementan para proteger los datos electró- nistración pública o grandes empresas, hay
nicos de las entidades que lo generan, proce- que considerar la posibilidad de implemen-
san y almacenan para realizar sus tareas, y se- tarla en las pymes también.
guido a esto el logro de sus objetivos. Un aspecto de suma importancia es el legal;
Los objetivos estratégicos empresariales, ins- el Estado debe trabajar en legislación sobre
titucionales o gubernamentales se basan en ciberseguridad. Hemos avanzado como país
la premisa de cumplir objetivos a largo pla- en ese aspecto, pero aún falta desarrollo.
zo, ya sea políticos, de mercado, desarrollo En cuanto a las instituciones formativas y de
de nuevos productos o servicios antes que investigación, es necesario su aporte en de-
la competencia, pero no siempre consideran sarrollo de productos o servicios, como así
en los mismos la seguridad de los activos de también la formación de profesionales de ci-
información que forman parte esencial del berseguridad que tomen decisiones, que se-
cumplimiento de los planes estratégicos. pan participar de estrategias de negocios. Las
En contrapartida existen muchos organismos carreras de grado o posgrado en ciberseguri-
nacionales e internacionales, en algunos ca- dad deben tener contenidos de gestión, de-
sos gubernamentales, en otros casos entida- sarrollar profesionales con capacidad de vi-
des sin fines de lucro, que han desarrollado a sión global y de gerenciamiento.
lo largo de los últimos años, estándares, bue- Como conclusión, podemos inferir que los
nas prácticas, conjunto de controles a imple- Es fundamental para que la ciberseguridad recursos económicos no son el principal as-
mentar y marcos de trabajo que pueden ser sea considerada como estratégica es que se pecto que influye en la falta de desarrollo de
aplicados desde el momento cero del plan conozca, sea factible su implementación, ten- planes estratégicos que incluyan la ciberse-
estratégico o que permitan modificar el plan ga respaldo técnico, legal y profesional. guridad.
para incluir acciones y recursos que protejan Debemos trabajar en desarrollar ecosistemas
uno de los principales activos de las organi- Círculo virtuoso eficientes, donde haya aportes del Estado, de
zaciones, la “información”. Es necesario crear una relación fluida entre empresas con o sin fines de lucro, de entida-
Entonces, si existe la necesidad y existe ayu- diversas entidades como Gobiernos, universi- des educativas, y que todo ese aporte genere
da documental, la pregunta es ¿Por qué no dad, centros de capacitación e investigación, la confianza necesaria para poder desarrollar
se incluye la ciberseguridad en el plan estra- y las empresas privadas con o sin fines de lu- lo que podemos denominar “ciberentidades”.
tégico? Para responder esta amplia pregunta, cro. Esa relación debería comportarse como Entidades con planes seguros, con políticas
necesitamos conocer los objetivos y analizar un “círculo virtuoso”, que genere un ambien- de seguridad, con personal capacitado y con-
cada situación en particular. De todas mane- te donde la ciberseguridad no sea solo una cientizado. Entidades que sean resilientes,
ras, se pueden abstraer algunos conceptos e utopía implementarla, sino que la misma sea que puedan ponerse en marcha rápidamen-
ideas sobre la falta de aplicación de la “Ciber- considerada como parte del ciclo de vida de te ante un incidente. En pocas palabras que
seguridad Estratégica”. los sistemas de información. Desde su inicio, sean “ciber–seguras”.
En mi trabajo como profesional de las Tec- durante su etapa productiva y luego de ésta
nologías de Información y Comunicaciones para resguardar los conocimientos y datos
Mercado Abril-Mayo 2020

(*) Profesor de UTN, Facultad Regional

(TIC) he participado en trabajos institucio- generados. Resistencia
nes públicas como privadas, con o sin fines Para que funcione esa relación hacen falta
de lucro, y en todos los casos he visto fallar acciones que indiquen y fomenten la impor-
el funcionamiento del ecosistema donde se tancia de tener políticas y estrategias de ci-
encuentra situada la entidad. berseguridad, proponer y mantener vigentes

u-076-dossier.indd 89 2/6/2020 16:44:38

 90

DOSSIER |
Mercado
Banco Patagonia

Pandemia: fuente disruptiva

de seguridad e inseguridad
Las actividades online y la movilidad tomaron gran protagonismo en esta pandemia y consti-
tuyen uno de los focos de los ciberataques. El tratamiento del riesgo deriva en posibles alterna-
Por Rubén Chorny sin ninguna seguridad de perímetro de red?
–Las distintas industrias hoy más que nunca
Los ciberataques están en camino de du- tienen que lidiar con el verdadero espíritu de
plicar el costo del daño a los negocios des- la seguridad de la información, que es ni más
de 2015 y aun así los líderes empresarios no ni menos que la gestión de riesgos. Parte de
parezcan entender las características de un nuestro trabajo es tener en cuenta que este
buen plan de ciberseguridad, subestiman- confinamiento llevó mundialmente a muchas
do el rigor que se necesita para enfrentarlos. empresas a utilizar equipos personales para
¿Por qué es así? A este y otros interrogantes continuar con la actividad laboral. Es en este
responde Claudio Colace, gerente de Segu- punto donde los responsables de la seguri-
ridad Informática y Protección de Activos de dad debemos aplicar la mencionada gestión
Información / Responsable por la Ciber De- de riesgos y hacer más seguros los procesos,
fensa de Banco Patagonia, consultado por las aplicaciones y las formas de trabajo. Asi-
Mercado. mismo, y sumamente importante, es trabajar
“Como nivelación, cuando un ciberataque Claudio Colace. Gestión de riesgos. no solamente sobre la tecnología y los proce-
es exitoso se lo considera un incidente; caso sos, sino también en la educación y concien-
contrario, se trata de un evento que también do a la pérdida reputacional, la segunda por tización de la denominada capa 8, la perso-
debe alimentar a nuestros sistemas de ges- temor a represalias legales y la tercera por na, que son tan vulnerables, o más, que los
tión de seguridad. Las principales causas por puro desconocimiento de la situación. El ver- propios sistemas.
las cuales el costo de daños a los negocios, dadero problema no es sufrir un ciberataque,
producto de incidencias de seguridad, se ha sino que éste sea exitoso en su objetivo. En –La carrera de la tecnología otorga venta-
incrementado en los últimos tiempos obede- nuestro caso, diariamente se reciben cibera- jas a la cíberdelincuencia por la multimillo-
cen, por un lado, a la organización y hasta taques que directamente son repelidos por naria recompensa económica que ofrece,
profesionalización de los ciberdelincuentes las distintas barreras y cuya información se ¿cómo espera que se la pueda enfrentar,
o hackers, moral y éticamente corruptos. Y, retroalimenta en nuestro sistema de seguri- con la aparición de una “bala de plata” que
por otro lado, a la visión acotada o recortada dad para generar comportamientos de de- acabe con los problemas de ciberseguridad
de las estrategias de ciberseguridad y aplica- tección y nutrir lo que llamamos inteligen- o que con el tiempo emerjan “nativos de la
ción de las mismas en las organizaciones. Ha- cia de amenazas. Es sumamente importante ciberseguridad” que se les equiparen?
bría que averiguar qué significa la cibersegu- para hacer ciberseguridad el aspecto cola- –Actualmente existen muchos frameworks y
ridad para los líderes empresariales y por qué borativo, participar de grupos en los que se estándares de seguridad en el mercado, muy
la quieren, pero también es responsabilidad comparten experiencias e información de ci- buenos todos pero, en mi opinión, son com-
de los CISO, o líderes de seguridad, hablar un berataques. Como todo el sector financiero, plementarios. La receta mágica lamentable-
mismo lenguaje y generar esa línea de pen- contamos con áreas específicas para prote- mente no existe, y hasta los futuros nativos
samiento, indica el especialista. ger la confidencialidad, integridad, disponi- de la ciberseguridad deberán trabajar en la
bilidad y privacidad de la información. aplicación de los conocimientos y trabajo
–¿Se encuentra su organización entre el ter- experto, las estrategias de seguridad, los fra-
cio de las empresas argentinas que admitió Gestión de riesgos meworks, los estándares y el esfuerzo manco-
haber sido víctima de ciberataques o entre –Al ser la mayor cantidad de intentos dia- munado que son ingredientes para garanti-
las tres cuartas partes que considera poco rios de ciberataque en el país para entrar zar una gestión exitosa de la seguridad de la
probable sufrirlo? ¿Tiene personal encarga- en redes bancarias, obtener información fi- información.
Mercado Abril-Mayo 2020

do de la seguridad informática o limita la nanciera y robar dinero, ¿cómo incidirá en

precaución a los clásicos antivirus? la defensa de la seguridad la extraordina-
–Existen al menos tres razones por las que ria concentración de actividades online ac-
una empresa puede optar por decir que no tual producto del confinamiento pero tam-
sufrió un ciberataque. La primera es por mie- bién porque los móviles a menudo trabajan

u-076-dossier.indd 90 2/6/2020 16:44:38

 92

DOSSIER |
Mercado
Puertas de entrada

Argentina es un especial
blanco de ciberataques
Hoy más que nunca los cibercriminales están apuntando directamente a engañar a los usuarios
como primer vector de ataque y resulta fundamental un plan de concientización.
Por Cecilia Pastorino (*) sar en la seguridad de su información es en
un buen sistema que gestione la seguridad.
Todos los años desde Eset elaboramos el Se- Hoy en día, ya no basta con solo aplicar con-
curity Report, un informe sobre el estado de la troles de seguridad, sino que resulta nece-
ciberseguridad en Latinoamérica, en el cual sario trabajar en la gestión de la seguridad.
consultamos a 4.000 profesionales del área, Un Sistema de Gestión de la Seguridad de la
en 13 países de la región acerca de sus pre- Información (SGSI) es un plan estratégico de
ocupaciones, los incidentes que sufrieron y la compañía, diseñado a partir de procesos
las medidas de seguridad que implementan que tienen como objetivo asegurar la dispo-
en sus empresas. Esta información luego es nibilidad, la confidencialidad, y la integridad
complementada con datos de nuestras de- de la información. Es decir, un conjunto de
tecciones, así como también con las investi- procesos que garantice que la información
gaciones de nuestro laboratorio. esté disponible cuando sea requerida, solo
En nuestro último informe, contamos con la sea accesible por personas autorizadas y no
participación de más de 600 profesionales ar- haya sido manipulada ni alterada por proce-
gentinos quienes nos manifestaron que sus sos indebidos.
principales preocupaciones en materia de ci- Actualmente, por causas de fuerza mayor, la
berseguridad son el acceso indebido a los sis- gran mayoría de las empresas argentinas se
temas informáticos (62%) y el robo de infor- encuentran trabajando de manera remota, lo
mación (48%). drían combustible gratis o incluso serían que resulta en nuevos procesos muchas ve-
Sin embargo, los incidentes más reportados beneficiarios de un bono del Ministerio ces implementados en tiempo récord y sin
en el país son las infecciones con códigos de Trabajo. tener en cuenta las medidas básicas de segu-
maliciosos, ya que 1 de cada 3 empresas han A partir del análisis de estas campañas ve- ridad. Sin embargo, existen las herramientas
declarado haber sido víctimas de estas ame- mos que aún hay miles de personas que in- tecnológicas para trabajar de forma remota
nazas informáticas. gresan a estos sitios fraudulentos y entregan y segura, y en la mayoría de los casos están
Por otro lado, esto tiene sentido cuando ve- información o bajan aplicaciones de este tipo al alcance de cualquier organización. En este
mos que apenas el 74% de las empresas del con tal de obtener el esperado premio. Esto sentido, desde Eset recomendamos revisar
país implementan un software antivirus, una nos indica que todavía hay un largo camino nuestras guías públicas y gratuitas con con-
medida de protección que hoy se considera por recorrer en lo que es educación de los sejos y buenas prácticas sobre el trabajo re-
básica y primordial para proteger la informa- usuarios. moto: Guía de Teletrabajo orientada a em-
ción y los sistemas. De hecho, según nuestro informe apenas el pleadores y la Guía de Teletrabajo orientada
En los últimos años los ciberataques han ido 30% de las empresas realizan capacitacio- a colaboradores.
en aumento y se han ido complejizando. nes periódicas de seguridad entre sus em- La situación causada por la pandemia ha for-
Hoy en día queda claro en las campañas que pleados. zado la adaptación en el corto plazo, pero
analizamos en el laboratorio de Eset, que Ar- debe verse como un paso o un salto hacia la
gentina es blanco de ciberataques dirigidos Plan estratégico transformación digital, ofreciendo más flexi-
especialmente a víctimas del país. Por otro lado, la gestión de la seguridad no bilidad a los clientes y empleados y poten-
Por otro lado, la gran mayoría de los atacantes se trata de una acción puntual o que se pue- cialmente abriendo nuevas oportunidades.
utilizan técnicas de Ingeniería Social para en- de realizar una sola vez, sino que se trata de
gañar a sus víctimas y lograr así robarles infor- un ciclo continuo de análisis, planificación,
Mercado Abril-Mayo 2020

(*) Especialista de Seguridad Informática

mación o infectarlas con códigos maliciosos. acción y revisión, para volver nuevamente de ESET Latinoamérica
De hecho, las últimas campañas han aprove- a analizar los resultados y planificar nuevas
chado la situación de aislamiento por el Co- mejoras.
vid-19 para hacerles creer a las víctimas que La principal estrategia a largo plazo que
cobrarían una tarjeta alimentaria, obten- debe tener una empresa a la hora de pen-

u-076-dossier.indd 92 2/6/2020 16:44:39

 94

DOSSIER |
Mercado
Logicalis Argentina

Nuevas funcionalidades
financieras vinieron para quedarse
La situación Covid-19 aceleró algunos procesos de evolución tecnológica en el sector financiero
local, como ser la concentración de servicios en las APPs de los bancos y la creciente demanda
online de los clientes.
En entrevista con Mercado, Luciano Melén- los servicios se consumen.
dez, BDM de Seguridad de Logicalis Argenti- Entonces establecemos un nuevo foco, la in-
na, da cuenta de las principales tendencias y formación: definimos qué debe ser accedido,
factores a tener en cuenta en la batalla contra por quién y desde dónde, con un abordaje
el cibercrimen. centrado en los datos. Para esto hace falta de-
sarrollar un plan, en fases que como mínimo
–¿Cómo imagina el nuevo escenario que se deben cubrir:
abre con los riesgos de seguridad en cuanto • Descubrimiento, gobierno y clasificación
a las violaciones de datos y privacidad que de datos.
involucrarán a teletrabajadores y dispositi- • Estrategias de DLP (Data Loss Prevention)
vos móviles fuera de las instalaciones? y cifrado.
–Cuando un usuario trabaja en forma remo- • Gestión de accesos e identidades.
ta, el primer desafío es que efectivamente • Concientización.
pueda hacerlo y que tenga los medios nece- Hasta tanto logremos un buen nivel de edu-
sarios. Para esto hace falta combinar factores Luciano Meléndez. Un plan necesario. cación en ciberseguridad común a todos los
que involucran principalmente al proveedor usuarios, hará falta un organismo de control
de servicios de Internet (ISP). En un futuro in- el beneficio de poder realizar nuestras tareas interno que articule.
mediato podría ser el propio ISP quien brin- con la misma dedicación, desde diferentes
de el servicio seguro de acceso a aplicaciones espacios; la productividad de todos debiera –¿Cómo incidirá en la seguridad financiera
corporativas, soportado por socios expertos incluso, crecer. la extraordinaria concentración de activi-
–como Logicalis– que garanticen integridad dades online gracias al confinamiento y a
y compliance sobre tecnologías de acceso pri- Segmentación lógica de perímetro que los móviles a menudo trabajan sin nin-
vilegiado, por ejemplo. A este servicio se le –¿Qué capacidades estratégicas de largo guna seguridad de perímetro de red?
puede incorporar disponibilidad del 100% plazo esenciales requeriría diseñar un sis- –Una de las ventajas de vernos forzados a re-
pensando en tecnologías de balanceo en la tema sólido de ciberseguridad? solver algunos trámites sin recurrir a la sucur-
nube y protección contra ataques DDoS Vo- –El desafío es considerar un enfoque de la se- sal es a largo plazo una reducción del costo
lumétricos; así como también capacidad de guridad centrada en los datos, a diferencia operativo. Esa eficiencia le brinda al cliente la
cifrado y aceleración del contenido; para me- del enfoque tradicional basado en la Red o posibilidad de pagar menos por un servicio
jorar la experiencia del empleado. en los dispositivos. En el enfoque tradicional que, en definitiva, ya casi no utiliza, como se
Respecto de los riesgos, según la Cybersecuri- se podría hacer la analogía de las instalacio- evidencia con los bancos nativos digitales y
ty and Infrastructure Security Agency (CISA), en nes de la empresa como un castillo; que debe sus propuestas. El perímetro, como ya vimos,
marzo 2020 se vio un incremento importante ser protegido contra intentos de intrusión ex- se vuelve difuso y pierde relevancia, también
de ataques aprovechando vulnerabilidades de ternos (atacantes desconocidos) o internos frente a la disponibilidad y la eficiencia. Hoy
soluciones de VPN y configuraciones débiles (empleados malintencionados). Este enfoque estas APPs tienen detrás muchas horas de de-
en O365. Esto no nos dice demasiado, pero si obliga a pensar en un esquema de seguridad sarrollo: análisis de comportamiento para im-
le sumamos algunas falencias en la educación basado en la segmentación lógica de períme- pedir que un usuario acceda desde Shangai
de los usuarios y procedimientos de backup tro, Datacenter, nube, endpoints, etc. Si bien y Buenos Aires el mismo día, inteligencia ar-
defectuosos o planes de continuidad de nego- puede ser efectivo en determinados escena- tificial para limitar las transferencias, múlti-
Mercado Abril-Mayo 2020

cios poco eficientes, estaremos más expuestos rios, no es resiliente: no es capaz de adaptar- ples factores de autenticación para acreditar
a diversos vectores de ataques. se a ciertos cambios como, por ejemplo, una la identidad del cliente en forma fehaciente y,
Si se logra un equilibrio entre el esfuerzo que pandemia global, que de un día para el otro además, diseño y usabilidad, para garantizar
demanda la ejecución de este plan de ma- cambia el sentido en el que la información la adopción que es también muy importante.
nera recurrente –sostenible en el tiempo– y circula y, por ende, cambia el modo en que R.Ch.

u-076-dossier.indd 94 2/6/2020 16:44:39

 95

Mercado
Estrategia punta a punta paralelo todas las áreas y procesos, desde los re-
cursos humanos hasta el soporte técnico pasan-
Por Juan Bonora (*) do por el diseño, la fabricación, prueba, promo-
ción, etc.
La ciberseguridad y la protección de datos perso- Cada nuevo empleado es entrenado sobre estos
nales son del máximo nivel estratégico de la temas y asume el compromiso de respetar los pro-
compañía. El departamento específico tiene po- cedimientos y normas internas al respecto. Se rea-
der de veto por encima de cualquier otra área lizan entrenamientos y evaluaciones periódicas.
respecto del lanzamiento de cualquier producto Consideramos que la capacitación del personal
o solución. es clave.
Huawei es una de las primeras empresas a escala Cada nueva tecnología ha ido aumentando los
mundial en mencionar y aplicar el concepto de niveles de seguridad a los máximos niveles cono-
ciberseguridad en la cadena de provisión y dis- cidos al día de hoy aplicados al 5G.
tribución punta a punta. Pero siempre existe la vulnerabilidad relacionada
Todas las empresas de tecnología hacen uso de al uso que le da cada persona.
proveedores externos a la vez, la cadena de dis- datos personales. Al final, la mayoría de las aplicaciones son utili-
tribución hacia el cliente final también suele ser Asimismo, se requiere la constante capacitación zadas por seres humanos. Eso lleva a que la in-
provista en parte por proveedores externos. del personal de dichas compañías y un control geniería social se haya especializado y existan
Se realiza un exhaustivo proceso de selección, estricto del cumplimiento de las normas de ci- cada vez más tipos de ataques.
seguimiento y control de las cadenas de provi- berseguridad y protección de datos personales. Hoy es muy importante la capacitación respecto a
sión y distribución. temas como fishing, baiting, malware, pretexting, etc.
El proceso de selección de un proveedor externo Entrenamiento y evaluaciones
tiene un enorme componente respecto al che- Tanto la ciberseguridad como la protección de (*) Director de Relaciones Públicas de
queo de la ciberseguridad y la protección de los datos personales son aspectod que recorren en Huawei Argentina

encuadernación:
cosido a mano
rústica y fina
armado de tesis
álbum de foto
IMPRENTA cuaderno de viaje
Impresiones Bs.As.
Rivadavia 751 tipografia
Ciudad de Buenos Aires offset
duplicación
timbrados

tarjetas
casamiento
papelería comercial

u-076-dossier.indd 95 2/6/2020 17:10:27

 96

DOSSIER |
Mercado
Banco Provincia

Los ciberataques y las

campañas de phishing
El objetivo es implementar herramientas de seguridad y monitoreo para anticipar los riesgos y
tomar medidas proactivas, que involucran planes de resiliencia para superar los incidentes que
se produzcan minimizando el impacto y los tiempos de recuperación.
“Banco Provincia cuenta con un área de Se- –Desde empleados que usan redes Wi–Fi no
guridad Lógica que se encarga de implemen- seguras hasta trabajadores que llevan consi-
tar los mecanismos de ciberseguridad nece- go documentos confidenciales, a medida que
sarios para proteger tanto a la información el trabajo remoto se vuelve una práctica más
como a los sistemas, y evitar así ser víctimas extendida, la seguridad de los datos se torna
de ciberataques que afecten la confidencia- una de las prioridades más urgentes.
lidad o la integridad de los datos. Tenemos El primer paso para proteger los datos de la
personal encargado de proteger la infraes- empresa es asegurarse de que todos los em-
tructura, los datos y la tecnología utilizada pleados sepan que la seguridad de esa infor-
para su procesamiento frente a amenazas mación es una prioridad. Para eso es funda-
internas o externas, con el fin de asegurar la mental crear un marco normativo a partir de
confidencialidad, integridad, disponibilidad, una estrategia conjunta con el área de Recur-
legalidad y confiabilidad de la información. sos Humanos.
Hay además un trabajo constante para for- tenticación robustos. Es necesario que el personal cuente con un
mar entre el personal del banco nuevos pro- Estamos en un nivel avanzado de implemen- programa de concientización y capacitación
fesionales de la ciberseguridad y fortalecer tación de la biometría, a través de la lectora sobre seguridad informática, cuyos conteni-
con recursos propios la base del equipo de- de huella digital y de la cámara fotográfica en dos estén orientados a satisfacer las necesi-
dicado a esta tarea, indica Juan Pablo Dome- los dispositivos móviles. Estas herramientas dades internas y externas en el uso, el cono-
nech, gerente de Seguridad Lógica de Banco nos proporcionan fuertes mecanismos de au- cimiento, la prevención y la protección de los
Provincia, en entrevista con Mercado. tenticación de usuarios y transacciones, que activos de información involucrados en los
aportan más seguridad en este contexto en procesos de negocio. Obviamente, esta ca-
–¿Qué medidas de seguridad informática el cual muchas personas se conectan desde pacitación debe estar en línea con las dispo-
se aplican para hacer frente al exponencial sus casas o comparten redes Wi-Fi con sus ve- siciones del ente regulador, que en nuestro
tráfico online producto del confinamiento cinos, sin tener firewalls o antivirus para pro- caso es el BCRA, para mitigar riesgos de frau-
y de que los móviles a menudo trabajan sin tegerse de ataques destinados a robar infor- de interno y externo.
seguridad de perímetro de red? mación sensible como nombres de usuarios El empleado debe ser consciente de que
–La pandemia de Covid-19 hizo que las per- y claves de acceso. También desarrollamos un es el eslabón más débil de toda la estrate-
sonas se volcaran masivamente a los canales monitoreo de toda la información del banco gia y por eso la organización debe exigir-
digitales para realizar operaciones bancarias que se exponen en las redes sociales para de- le que mantenga actualizados sus software
y comerciales, al punto de que muchas están tectar posibles ataques o acciones destina- de antivirus, que los mismos sean origina-
aprendiendo hoy a utilizar estas herramien- das a engañar a nuestros clientes. Para poder les y estén homologados, y que tenga ins-
tas que los bancos ofrecen desde hace años, protegernos debemos conocer lo que pasa talados en sus equipos firewalls para pro-
pero que no todos los clientes aprovechan al en el entorno de las redes y eso se logra a tección. Desde el punto de vista de nuestra
máximo de sus posibilidades. Este nuevo es- través del monitoreo continuo. estrategia, para evitar riesgos de privacidad
cenario hizo que en la región se multipliquen habilitamos una red privada virtual (VPN).
los ciberataques y las campañas de phishing, Nuevos escenarios Esto nos permite cifrar el tráfico de los da-
que cada vez son más sofisticadas y dirigidas – Si, como se piensa, el trabajo remoto llegó tos y supervisar cualquier signo de infección.
a determinados clientes en particular. para quedarse ¿cómo imagina el nuevo es- Además, establecimos un segundo factor de
Mercado Abril-Mayo 2020

Por eso es fundamental educar a los usua- cenario que se abre con los riesgos de segu- autenticación (2FA) para hacer más robusta
rios para que utilicen los canales digitales de ridad en cuanto a las violaciones de datos y la seguridad. El próximo paso es incorporar
una forma segura y responsable. Desde Ban- privacidad que involucrarán a teletrabaja- nuevas tecnologías para proteger más la in-
co Provincia buscamos incrementar los nive- dores, dispositivos móviles y activos fuera formación que se mueve a la nube. M
les de seguridad a través de factores de au- de las instalaciones? R.Ch.

u-076-dossier.indd 96 2/6/2020 16:44:39