Partiendo de la inevitabilidad de sufrir un incidente de CIBERseguridad, la CIBERresiliencia es una estrategia para que las organizaciones puedan continuar con sus operaciones ante un ciberataque. Además, hay un motivo, llamémosle social, cuánto más empresas CIBERresilientes menos posibilidad de triunfo por parte de los CIBERatacantes. 

A pesar de estas razones de peso, tienen que llegar las regulaciones para que muchas organizaciones contemplen la necesidad de gestionar de manera rigurosa los riesgos provenientes del llamado CIBERespacio. La normativa nos viene de Europa en forma de Directiva, NIS2, que proporciona medidas legales para impulsar el nivel general de CIBERseguridad en la UE. 

El cambio de matiz que trae consigo la NIS2 y que se nos avecina el año que viene, es que, más allá de la inclusión de nuevos obligados, nuevas medidas, novedades en las sanciones, etc., los nuevos requerimientos se enfocarán en la gestión de riesgos y las empresas pasarán a ser responsables de la actuación de sus proveedores y suministradores. 

Nos pueden y nos van a obligar a ser CIBERresilientes

Cuando tu cliente, con el que llevas colaborando muchos años, te diga que no puede trabajar contigo, no por la falta de calidad de tus productos o servicios, del trato, de los precios, etc. sino porque no cumples con una mínima CIBERhigiene y que por culpa de tu escasa postura de CIBERseguridad los responsables de la compañía podrían tener responsabilidades penales, el panorama cambia completamente. 

“La normativa nos viene de Europa en forma de Directiva, NIS2, que proporciona medidas legales para impulsar el nivel general de CIBERseguridad en la UE” 

La NIS2 cambiará la perspectiva de muchas empresas y la excusa de: no soy CIBERresiliente porque no soy objetivo y mi información no importa a nadie, soy demasiado pequeño y no me van a sancionar… se acabará cuando tu cliente no quiera o no pueda trabajar contigo. Más pronto que tarde, las organizaciones van a tener que constatar la postura de CIBERseguridad de sus proveedores, socios y colaboradores de negocio.

La importancia de la cadena de suministro

De acuerdo con la Agencia de la UE para la Ciberseguridad – ENISA en relación con los ataques a la cadena de suministro, es su crecimiento espectacular de un año a otro: un 17% de las intrusiones fueron incidentes relacionados con las cadenas de suministro.

Además, según el informe de 2022 de Verizon, para muchas empresas, el último año también estuvo dominado por cuestiones de la cadena de suministro, y esta tendencia también se ha dejado sentir en el ámbito de la ciberseguridad. El 62% de los incidentes de intrusión en el sistema se originan en el socio de una organización. 

Un ataque a la cadena de suministro sucede cuando el CIBERatacante accede a la red de trabajo de una organización a través de terceros, como son proveedores, colaboradores, vendedores o incluso clientes. Muchas empresas trabajan con multitud de proveedores, desde materiales de producción hasta la externalización de servicios como pueden ser los tecnológicos. En otras, además, sus clientes acceden a los sistemas para cumplimentar determinados procedimientos. Es por ello, por lo que es crucial proteger esa cadena de valor y garantizar que las empresas con las que trabajamos están igual de comprometidas con su postura de CIBERseguridad.

La falta de diligencia a la hora de establecer acuerdos con socios de negocio que no sean rigurosos con la protección de sus infraestructuras tecnológicas, su información y la nuestra, incrementa la efectividad de los ataques de los ciberdelincuentes. 

La mejora continua en la postura de ciberseguridad

Las empresas van a tener que reformular sus modelos de cumplimiento y su postura de CIBERseguridad por aplicación de las nuevas regulaciones, siendo sometidas a controles periódicos por parte de sus clientes. 

“Las empresas van a tener que reformular sus modelos de cumplimiento y su postura de CIBERseguridad por aplicación de las nuevas regulaciones”

Lo primero que debemos hacer antes de adoptar cualquier herramienta de ciberseguridad es saber cómo estamos y cuáles son los riesgos de CIBERseguridad a los que se enfrenta o puede afrontar nuestra organización. Para ello debemos realizar un diagnóstico de la situación, realizar al menos una auditoría de la página web y analizar las vulnerabilidades de nuestra infraestructura tecnológica. 

Consideramos imprescindible proteger el puesto de trabajo con la adopción de EDR (Endpoint, Detection and Response). Además, el primer firewall de las compañías es el usuario y nuestros trabajadores deben conocer las amenazas a las que tienen que hacer frente en el uso diario de las herramientas tecnológicas que las organizaciones ponen a su disposición. Dentro de la evolución y la mejora de la postura de ciberseguridad de la compañía, se deberían incorporar soluciones más específicas para resolver amenazas concretas, como, por ejemplo, proteger el correo electrónico y la fuga de datos, el mayor activo de las empresas. Finalmente, para completar y limitar al máximo nuestro riesgo, aconsejamos la contratación de un ciberseguro.