Mejorando la ciberseguridad mediante el cumplimiento normativo y la arquitectura de seguridad

Organizaciones bajo amenazas de ciberseguridad

Las organizaciones de todo el mundo están bajo la amenaza constante de los ciberdelincuentes. Las tasas de ciberdelincuencia han aumentado drásticamente y se espera que el costo global alcance los 23,82 billones de dólares anuales para 2027 (Statista). La mayor dependencia de las infraestructuras digitales, el trabajo remoto y los dispositivos conectados ha ampliado las superficies de ataque, lo que hace que la ciberseguridad sea más crítica que nunca. Los ciberdelincuentes emplean métodos sofisticados, como la "cacería de peces gordos" y la "doble extorsión", para maximizar su impacto. Solo en 2023, hubo más de 2200 ciberataques por día, un aumento del 103% en comparación con 2022 (Security Magazine).

Los ciberdelincuentes no solo buscan ganancias financieras, sino que también buscan interrumpir la infraestructura y los servicios críticos. Por ejemplo, el sector de la salud ha experimentado un aumento significativo de los ataques de ransomware, que pueden tener consecuencias potencialmente mortales. El sector financiero también es particularmente vulnerable, y las ciberamenazas plantean graves preocupaciones para la estabilidad financiera y pueden provocar perturbaciones económicas (IMF).

Una plétora de regulaciones y falta de vigilancia

Las implicaciones financieras de los ciberataques van más allá del rescate y el daño a la reputación. Las violaciones de datos pueden tardar un promedio de 287 días en identificarse y contenerse, con un costo promedio de $4,45 millones por violación (IBM y Ponemon Institute). Además, el incumplimiento de regulaciones como GDPR, CCPA y la próxima DORA puede dar lugar a fuertes multas. Por ejemplo, Google enfrentó una multa de $57 millones y British Airways recibió una multa de $230 millones por violaciones de GDPR. Estas regulaciones subrayan la necesidad de medidas rigurosas de ciberseguridad para salvaguardar la integridad de los datos de la organización.

El aumento de los requisitos regulatorios presenta un panorama complejo para las empresas. El cumplimiento ya no es opcional, sino un componente crítico de las operaciones comerciales. Sin embargo, muchas organizaciones aún carecen de vigilancia, a menudo subestimando la importancia del cumplimiento continuo. Esta brecha en la vigilancia puede dar lugar a graves consecuencias financieras y operativas, especialmente a medida que los organismos reguladores se vuelven más estrictos en sus acciones de cumplimiento.

Hacia la confianza cero: optimización de la organización y la arquitectura de seguridad

Gestionar el cumplimiento normativo en múltiples marcos normativos requiere una estructura organizativa sólida y un enfoque de confianza cero para la seguridad de TI. Esto implica esfuerzos continuos de cumplimiento normativo de TI por parte de los gerentes de seguridad, los arquitectos empresariales y los gerentes de cumplimiento normativo. Una arquitectura de seguridad integral integra estos esfuerzos y define los roles de las partes interesadas en los procesos de seguridad. Según McAfee, el 83 % de las organizaciones experimentaron un incidente de seguridad en la nube en 2023, lo que destaca la necesidad de arquitecturas de seguridad en la nube sólidas y un modelo de confianza cero para mitigar los riesgos.

Un modelo de seguridad de confianza cero funciona según el principio de que ninguna entidad, ya sea dentro o fuera de la red, debe ser confiable de forma predeterminada. Este enfoque requiere una verificación rigurosa de la identidad, controles de acceso granulares y una supervisión continua de la actividad de la red. Las organizaciones pueden reducir el riesgo de acceso no autorizado y violaciones de datos mediante la implementación de la confianza cero. Además, una arquitectura de seguridad bien definida ayuda a agilizar los esfuerzos de cumplimiento normativo al proporcionar un marco claro para administrar las políticas y los procedimientos de seguridad.

Terceros: el eslabón más débil para cumplir con los estándares de cumplimiento

Los ciberataques explotan con frecuencia las vulnerabilidades de los proveedores externos, lo que hace que la gestión de riesgos de terceros sea crucial. El cumplimiento de los estándares de seguridad de TI es ahora un requisito previo para las asociaciones comerciales. La regulación europea DORA exige auditorías y puntuaciones de seguridad para los proveedores externos críticos de TIC (tecnologías de la información y la comunicación) para instituciones financieras. En 2023, los ataques a la cadena de suministro aumentaron un 42%, lo que enfatiza la necesidad de una gestión estricta de riesgos de terceros (TechNewsWorld). La ciberseguridad es una responsabilidad colectiva, y el 95% de los incidentes se deben a errores humanos. Los líderes deben dar ejemplo implementando y adhiriéndose a medidas de ciberseguridad sólidas.

Los proveedores y socios externos a menudo tienen acceso a datos confidenciales y sistemas críticos, lo que los convierte en objetivos atractivos para los ciberdelincuentes. Las organizaciones deben asegurarse de que sus socios externos cumplan con los mismos estándares de seguridad y requisitos de cumplimiento. Esto implica realizar auditorías periódicas, implementar controles de acceso estrictos y monitorear continuamente las actividades de terceros. Al hacerlo, las organizaciones pueden mitigar los riesgos asociados con las vulnerabilidades de terceros y mejorar su postura de seguridad general.