«¡Evolucionamos continuamente nuestros servicios de seguridad de la información y ciberseguridad!

Ahora que termina el año 2022, es hora de reflexionar sobre uno de los temas más debatidos en los últimos meses: la ciberseguridad. Si, por un lado, la transformación digital evoluciona cada día y aporta ventajas innegables a la competitividad de las organizaciones, por otro, los ataques a las empresas también aumentan y tienen un impacto cada vez más profundo en su productividad. Sobre estas cuestiones, las voces de la experiencia del equipo MIS – Information Security Management de Crossjoin nos iluminaron sobre lo que es, o no, urgente establecer.

La ciberseguridad es hoy un tema muy debatido, en gran parte debido a los constantes ataques a los que se ha visto sometido el mundo. A la luz de estos acontecimientos, muchas empresas se dieron cuenta de que son necesarios más y mejores procesos e inversiones en este ámbito. Analizando el mercado nacional, ¿cómo ve la evolución en este ámbito?

Portugal no ha sido una excepción en lo que respecta al aumento de la inversión en ciberseguridad. Covid-19 trajo nuevos retos que obligaron a las empresas a adaptarse a una realidad que conlleva riesgos como la necesidad de acceso remoto de sus trabajadores. Ha habido una tendencia de mayor visibilidad de la población sobre los peligros en el uso de la tecnología, una mayor atención al riesgo de incumplimiento del RGPD y un aumento de la demanda de profesionales formados en esa área, lo que ha llevado a una mayor demanda de especialización académica en el área de la ciberseguridad. Desgraciadamente, Portugal tampoco ha escapado al aumento de casos de ciberataques tanto en entornos corporativos/estatales como personales (ataques phishing/smishing, estafas MBWAY, ransomware, exfiltración y venta de datos personales en la darkweb, entre otros).

Uno de los acontecimientos nacionales destacados fue la creación del CNCS en 2014 con la misión de «contribuir a un uso libre, fiable y seguro del ciberespacio de interés nacional», actuar como coordinador operativo y autoridad nacional en materia de ciberseguridad y sensibilización. Crossjoin reconoce la vitalidad de la necesidad de protegerse contra los riesgos cibernéticos, así como de garantizar la protección de sus datos como información de sus clientes. Por ello, invierte en mejoras de las prácticas de Seguridad de la Información, demostradas en la obtención de la certificación ISO 27001. Del mismo modo, identificamos en nuestros clientes y socios un aumento de las inversiones en este ámbito, pero aún insuficiente frente al nivel de ataques de que son objeto.

Lo cierto es que la Ciberseguridad es una prioridad para Crossjoin, que alerta periódicamente de que tanto usuarios como organizaciones deben ser conscientes de que el riesgo de ataques de Ciberseguridad es real. ¿Considera que esta advertencia ya ha sido debidamente «escuchada» y que la sociedad en general reconoce los impactos críticos de la falta de Ciberseguridad? ¿Cuáles son las razones?
Consideramos que se ha producido un avance en la concienciación de la sociedad, como resultado de su propia experiencia como víctimas de ataques/estafas informáticas, así como gracias al aumento de la cobertura mediática de los ciberataques.
Sin embargo, en general, la sociedad aún no está debidamente consciente del cuidado que hay que tener con la exposición y transmisión de datos, ni del impacto que determinados ataques de ciberseguridad pueden causar en sus vidas. Por este motivo, seguimos viendo muchos casos por falta de atención o descuido.
Por desgracia, muchas empresas no prestan suficiente atención al tema de la ciberseguridad, la privacidad de los datos y/o no tienen la capacidad financiera para formarse o prepararse ante las amenazas, por ejemplo, de exposición de datos críticos de clientes.
En Crossjoin somos muy conscientes de que el peligro es real y damos a este tema una gran importancia. Trabajamos continuamente en la maduración de nuestras prácticas de seguridad de la información y ciberseguridad, así como de nuestros procesos internos de concienciación y sensibilización. La adaptación de nuestro sistema de gestión de la seguridad de la información a la norma ISO 27001 demuestra nuestro compromiso en la materia. Esta certificación refleja el esfuerzo en la implantación de procesos que cumplen con las mejores prácticas en Gestión de Seguridad de la Información, y en la adopción de metodologías y procesos de gestión de riesgos. La protección de los datos de nuestros clientes, socios, proveedores y empleados es una de nuestras prioridades.
Nuestro equipo de Gestión de Seguridad de la Información se creó precisamente para garantizar la seguridad de nuestra información, invirtiendo en un equipo altamente especializado en esta área, concienciando a nuestros empleados y previniendo las amenazas, minimizando así los riesgos de posibles ataques y sus respectivos impactos.
Promovemos una formación interna periódica de concienciación, en la que garantizamos que nuestros Crossers son conscientes de los distintos ataques posibles, además de asegurarnos de que saben cómo actuar si son blanco de dichos ataques. Nuestros empleados tienen un papel de gran responsabilidad, son la primera línea de defensa contra estos ciberataques y creemos que todas las empresas deberían empezar por aquí. En primer lugar, por supuesto, es necesario hacer de esta cuestión una prioridad, realizar las inversiones necesarias para dotar a sus profesionales de los conocimientos y herramientas necesarias para afrontar estos problemas reales.

Lo cierto es que recientemente se ha llegado a la conclusión de que no se están siguiendo algunas medidas del Marco Jurídico para la Seguridad del Ciberespacio. Para entenderlo mejor, ¿qué repercusiones ha tenido?
El hecho de que no se sigan las medidas del Marco Jurídico para la Seguridad del Ciberespacio se debe en parte a que los usuarios del ciberespacio aún no son plenamente conscientes ni están suficientemente informados del riesgo que entraña su comportamiento en el ciberespacio. La segunda parte de la ecuación es el incumplimiento parcial de las obligaciones de las entidades amparadas por este régimen jurídico que no notifican al Centro Nacional de Ciberseguridad (CNCS) la ocurrencia de incidentes ni «implementan todos los medios y todos los procedimientos necesarios para la detección, evaluación de impacto y notificación de incidentes con impacto relevante o sustancial».
Manteniendo la tendencia de 2021, en 2022 el número de incidentes de phishing e ingeniería social representó la mayoría de los incidentes registrados por CERT/CNCS. Es urgente reforzar las acciones de diagnóstico para evaluar continuamente la resistencia de la Ciberseguridad portuguesa.
El intercambio de información entre entidades también es importante para crear sinergias que permitan combatir las nuevas tendencias en ciberseguridad.

Tras este estudio, se puede concluir que los incidentes crecen un 42% y que la mayoría están relacionados con el phishing. ¿Considera que estas cifras se deben también a que la sociedad digital no ha desarrollado mecanismos de defensa?
Los ataques de phishing han aumentado porque tienen un alto porcentaje de éxito debido a que la sociedad digital no está suficientemente preparada para reconocer este tipo de ataques y a que la inversión necesaria para este tipo de ataques es muy baja en comparación con otros tipos de vectores de ataque que se pueden utilizar.
Algunos ataques de phishing están tan bien «construidos» que consiguen engañar incluso a los más atentos, ya que con frecuencia surgen nuevas técnicas, cada vez más sofisticadas y complejas. Por lo tanto, la mejor defensa contra los ataques de phishing es la concienciación. La concienciación sobre las amenazas, los tipos de ataques y los posibles efectos debe comenzar lo antes posible. La exposición a Internet y al mundo digital empieza cada vez antes, por lo que el cuidado y la concienciación deben comenzar con los más jóvenes, en las escuelas y universidades.

También hay quien dice que 2022 fue un año negativo para la Ciberseguridad en Portugal, advirtiendo que 2023 puede ser peor. Desde su punto de vista, para evitarlo, ¿qué debe establecer urgentemente?
En 2022 se produjeron numerosos ataques a grandes empresas en Portugal, por ejemplo los ataques a TAP, Vodafone, Sonae MC, sitios web oficiales del Sporting y y del FC Porto, sin embargo, el número de ciberataques aumentó en todos los países.
Sin embargo, el número de ciberataques aumentó en todos los países. Teniendo en cuenta que la mayoría de los ataques tienen su origen en ataques de ingeniería social, es necesario invertir más en concienciar tanto a la sociedad como a las empresas para que sean más reflexivas en su interacción con la tecnología.
Hoy en día existen simuladores de este tipo de ataques que permiten «poner a prueba» a los usuarios y así identificar acciones de concienciación dirigidas.
La formación obtenida en el entorno corporativo también ayuda a que el mismo usuario sea consciente del mismo comportamiento fuera de su lugar de trabajo.
Las empresas también deben continuar las campañas de concienciación dirigidas a sus clientes para informarles de las nuevas técnicas de ingeniería social que utilizan su nombre.
También es importante que los usuarios informen de los correos electrónicos identificados como phishing a las empresas y/o autoridades para que puedan informar a sus clientes.
Desgraciadamente, no es posible identificar cuál será la próxima tendencia en ciberataques, por lo que es importante que las empresas estén continuamente al tanto de estas tendencias y desarrollen herramientas para proteger la información, ya sea el cifrado o la supervisión de la red para detectar un posible intruso.
Otra necesidad es la existencia de equipos de prevención/explotación de vulnerabilidades que pretendan hacerse pasar por un intruso, para entender de forma crítica qué vulnerabilidades del sistema pueden así rectificarse/mitigarse para que no sean explotadas por alguien con intenciones maliciosas.

En este proceso de cambio y adaptación, marcas como Crossjoin aceptan misiones que parecen imposibles y que conducen al éxito del cliente y, en consecuencia, a la progresión del mercado. Entonces, ¿cómo ha afrontado Crossjoin estos retos, transformándolos en oportunidades?

Crossjoin está siempre atenta a las necesidades de sus clientes y del mercado, para presentar siempre las mejores soluciones. Esto nos obliga claramente a adaptarnos y actualizarnos constantemente con nuevos conceptos y tecnologías. De este modo, podemos ofrecer soluciones transversales y convertirnos en una empresa muy competitiva y, por tanto, diferenciarnos de la competencia.
La creciente preocupación por los problemas de ciberseguridad ha impulsado nuestras ofertas de seguridad. En todas nuestras ofertas, ya sean de rendimiento, desarrollo o infraestructura, siempre hemos tenido una gran preocupación por esta cuestión de la ciberseguridad, concretamente por las auditorías preventivas. Con la transición digital y con el mercado reaccionando a los problemas identificados, Crossjoin se posiciona como socio estratégico en la prevención y mitigación de este riesgo de forma integral y transversal a nuestros clientes. El hecho de contar con equipos con un alto nivel de conocimientos y experiencia transversal permite a Crossjoin realizar un diagnóstico para comprender dónde se encuentran los puntos vulnerables y presentar recomendaciones
y soluciones.

Afrontamos cualquier misión, ya sea de ciberseguridad, rendimiento o desarrollo, de la misma manera: metódicamente, siguiendo nuestra metodología; centrados; y con la confianza de que contamos con un equipo de experiencia transversal que nos permite resolver cualquier misión, especialmente aquellas que nuestros clientes consideran imposibles. La necesidad trae oportunidades y, como tal, estamos siempre atentos a nuestros clientes y al mercado, tratando de presentar soluciones que satisfagan sus necesidades.

Crossjoin lleva ya unos años siendo testigo de la transformación digital en varios clientes, en varios países y continentes, y puede atestiguar que esta es la dirección que permite salvar a las empresas y a la economía. ¿De qué manera desempeña la marca un papel crucial en esta transición, en cuanto a la seguridad con que se aplica?
La transformación digital es un hecho inevitable y debe hacerse con la máxima seguridad y con el conocimiento más transversal posible. La ciberseguridad no debe considerarse un silo técnico aislado, sino que debe vincularse de forma holística a todos los procesos de la organización. El hecho de que seamos especialistas en la optimización e infraestructura de sistemas de información y tengamos conocimientos en tecnologías y conceptos de vanguardia nos convierte en el socio estratégico ideal en el momento de esta transición. Crossjoin ha colaborado con sus clientes, proporcionándoles herramientas y estrategias para que, en primer lugar, sea posible prever y anticiparse a cualquier riesgo de ciberseguridad, y ayudar en la continuidad de sus operaciones para garantizar que funcionen con el mejor rendimiento con la máxima seguridad.

El mundo digital evoluciona constantemente. Así pues, para el año que está a punto de comenzar, ¿qué nuevas funciones aumentará Crossjoin para el mercado? ¿Qué podemos esperar en materia de seguridad?
Del mismo modo que la tecnología evoluciona constantemente, obligando a dar una respuesta rápida en materia de ciberseguridad, los servicios prestados en este ámbito también evolucionan.
Estamos en continua evolución de nuestros servicios de Seguridad de la Información y Ciberseguridad, para poder incorporar este componente en cualquier tipo de proyecto. Así, podemos destacar la «seguridad de la información por defecto y por diseño» y las auditorías de seguridad (código de aplicación
infraestructura y procesos) como los servicios que más repercuten en las empresas que contratan nuestros servicios.
Teniendo en cuenta las tendencias actuales, disponemos de un servicio de diagnóstico de «Seguridad en la nube», así como de un servicio dedicado a la gestión de la seguridad de la información («Comprobación de la seguridad de la gestión de la información»). En las organizaciones más maduras en materia de ciberseguridad, nos presentamos como un socio para la
aplicación de la arquitectura de confianza cero.
Internamente tenemos nuestro propio centro de competencia en ciberseguridad (SIG = Special Interest Group) que nos permite actualizar y mejorar constantemente en temas de ciberseguridad tanto para consumo interno como para nuestros clientes.

Revista Pontos de Vista
por Beatriz Quintal
Leer la entrevista original